個人情報保護法の問題（15問）

正解：2（アー正、イー誤）

ア．正しい

2条1項が「生存する個人」と定義 → 死者の情報は個人情報に該当しない

個人情報の保護に関する法律第2条第1項「生存する個人に関する情報であって、次の各号のいずれかに該当するものをいう」一次資料を確認

イ．誤り

「次に掲げる場合を除くほか」＝例外あり → 「いかなる場合であっても」は誤り

個人情報の保護に関する法律第20条第2項「次に掲げる場合を除くほか、あらかじめ本人の同意を得ないで、要配慮個人情報を取得してはならない」一次資料を確認

ひっかけ要配慮個人情報の取得は『常に本人の同意が必要』と丸暗記すると、法令に基づく場合などの例外（20条2項各号）を見落とす。

解説個人情報保護法上の「個人情報」は生存する個人に関する情報に限られ、死者の情報は対象外である（2条1項）。要配慮個人情報（人種・信条・病歴・犯罪歴等）は取得に本人の同意が原則必要だが（20条2項柱書）、法令に基づく場合や人の生命・身体・財産の保護に必要な場合など同項各号の例外に該当すれば同意なく取得できる。『原則同意必要・例外あり』という構造を、貸金業者が返済能力調査等で機微な情報に触れる場面と結び付けて理解する。

補足個人識別符号（マイナンバー・運転免許証番号等）が含まれる情報も、記述等による識別可否にかかわらず個人情報に該当する（2条1項2号）。

正解：3（アー誤、イー正）

ア．誤り

ただし書が要配慮個人情報を除外 → 「要配慮個人情報についても可能」は誤り

個人情報の保護に関する法律第27条第2項ただし書「第三者に提供される個人データが要配慮個人情報又は第二十条第一項の規定に違反して取得されたもの」一次資料を確認

イ．正しい

27条1項柱書のとおり → 記述は正しい

個人情報の保護に関する法律第27条第1項「次に掲げる場合を除くほか、あらかじめ本人の同意を得ないで、個人データを第三者に提供してはならない」一次資料を確認

ひっかけオプトアウト（本人への通知・委員会届出）はどんな個人データにも使えるわけではない。要配慮個人情報や不正取得データは対象外（27条2項ただし書）。

解説個人データの第三者提供は本人の同意が原則必要である（27条1項）。信用情報機関への提供など貸金業務でも同様である。オプトアウトの方法（27条2項）は、本人への事前通知・委員会届出を条件に同意を不要とする例外だが、要配慮個人情報や不正取得された個人データにはこの例外は使えず、通常どおり本人の同意が必要になる。『原則同意』『オプトアウトはその例外』『オプトアウトにも除外あり』という三層構造で押さえる。

補足共同利用（27条5項3号）は、利用目的・範囲等をあらかじめ本人に通知等していれば、提供先は『第三者』に該当しないものとして扱われる別枠の制度である。

正解：4（アー誤、イー誤）

ア．誤り

33条1項が電磁的記録提供を明示 → 「書面のみ」は誤り

個人情報の保護に関する法律第33条第1項「当該本人が識別される保有個人データの電磁的記録の提供による方法その他の個人情報保護委員会規則で定める方法による開示を請求することができる」一次資料を確認

イ．誤り

35条1項が20条違反取得を利用停止等の請求事由に明記 → 「請求できない」は誤り

個人情報の保護に関する法律第35条第1項「第二十条の規定に違反して取得されたものであるときは、当該保有個人データの利用の停止又は消去」一次資料を確認

ひっかけ開示請求＝書面のみ、是正手段＝開示請求のみ、という思い込みで正誤を判断すると両方外す。開示（33条）と利用停止等（35条）は別々の請求権として並立している。

解説保有個人データについて本人は、開示請求（33条：電磁的記録の提供等の方法を指定可能）、訂正等の請求（34条：内容が事実でないとき）、利用停止等の請求（35条：目的外利用・不適正利用・不正取得等の違反があるとき）という複数の請求権を持つ。20条違反（不正取得）は35条1項の利用停止等の請求事由に直結しており、開示請求でしか是正できないわけではない。貸金業者が本人からこれらの請求を受けた際は、請求の種類ごとに応答期限・拒否事由が異なる点にも注意する。

補足開示請求に対しては、本人・第三者の権利利益を害するおそれがある場合等（33条2項各号）に限り、全部又は一部を開示しないことができる。

正解：1（アー正、イー正）

ア．正しい

17条2項が変更の範囲を限定 → 無制限の目的変更は不可

個人情報の保護に関する法律第17条第2項「利用目的を変更する場合には、変更前の利用目的と関連性を有すると合理的に認められる範囲を超えて行ってはならない」一次資料を確認

イ．正しい

18条1項が範囲超過の取扱いを禁止 → 同意なき目的外利用は不可

個人情報の保護に関する法律第18条第1項「あらかじめ本人の同意を得ないで、前条の規定により特定された利用目的の達成に必要な範囲を超えて、個人情報を取り扱ってはならない」一次資料を確認

ひっかけ17条（利用目的の特定・変更の限界）と18条（利用目的による制限）を「同意さえあれば何でもできる」と一括りにすると、17条2項が同意の有無にかかわらず変更範囲そのものを制約している点を見落とす。

解説個人情報取扱事業者は、個人情報を取り扱うに当たり利用目的をできる限り特定しなければならず（17条1項）、利用目的を変更する場合も変更前の目的と関連性を有すると合理的に認められる範囲にとどめなければならない（17条2項）。さらに、特定された利用目的の達成に必要な範囲を超えて個人情報を取り扱うには、あらかじめ本人の同意が必要である（18条1項）。貸金業者が与信審査等で取得した情報を、後から別の目的（例：他の金融商品の勧誘）に使う場面では、この二重の制約（変更範囲の限界＋同意）を意識する必要がある。

補足事業承継に伴って個人情報を取得した場合も、承継前の利用目的の範囲を超える取扱いには、あらかじめ本人の同意が必要である（18条2項）。

正解：2（アー正、イー誤）

ア．正しい

20条1項が偽り・不正の手段による取得を禁止 → 適正取得義務は個人情報一般に及ぶ

個人情報の保護に関する法律第20条第1項「個人情報取扱事業者は、偽りその他不正の手段により個人情報を取得してはならない」一次資料を確認

イ．誤り

20条1項の対象は「個人情報」（無限定） → 「要配慮個人情報に限られる」は誤り

個人情報の保護に関する法律第20条第1項「個人情報取扱事業者は、偽りその他不正の手段により個人情報を取得してはならない」一次資料を確認

ひっかけ20条1項（適正取得）と2項（要配慮個人情報の取得時同意）を混同すると、「不正取得の禁止は要配慮個人情報だけの話」と誤読しやすい。

解説20条1項は、個人情報取扱事業者が偽りその他不正の手段により個人情報を取得することを一般的に禁止しており、対象は通常の個人情報を含む個人情報全般である。これに対し20条2項は、要配慮個人情報（人種・信条・病歴・犯罪歴等）に限り、取得時にあらかじめ本人の同意を得ることを原則として求める、より強い規律を上乗せしたものである。貸金業者が返済能力調査等で第三者から個人情報を取得する場面では、1項の適正取得義務（手段の適正性）と2項の同意取得義務（要配慮個人情報の場合）の両方を区別して満たす必要がある。

補足偽りその他不正の手段による取得の典型例には、なりすましや虚偽の説明による情報の聞き出しなどが挙げられる。

正解：3（アー誤、イー正）

ア．誤り

23条の主語は「個人情報取扱事業者」 → 「従業者個人が負う」は誤り

個人情報の保護に関する法律第23条「個人情報取扱事業者は、その取り扱う個人データの漏えい、滅失又は毀損の防止その他の個人データの安全管理のために必要かつ適切な措置を講じなければならない」一次資料を確認

イ．正しい

24条が事業者に従業者監督義務を課す → 記述は正しい

個人情報の保護に関する法律第24条「その従業者に個人データを取り扱わせるに当たっては、当該個人データの安全管理が図られるよう、当該従業者に対する必要かつ適切な監督を行わなければならない」一次資料を確認

ひっかけ「安全管理措置＝現場の従業者が守るべきルール」と考えると、23条の義務主体が事業者自身であることや、24条の監督義務がさらに事業者に課されている二重構造を見落とす。

解説23条は、個人情報取扱事業者に対し、取り扱う個人データの漏えい・滅失・毀損の防止その他の安全管理のために必要かつ適切な措置を講ずることを義務付けている。この義務の名宛人は事業者自身であって、現場の従業者個人が法律上の義務主体になるわけではない。加えて24条は、事業者が従業者に個人データを取り扱わせる場合、安全管理が図られるよう当該従業者に対する必要かつ適切な監督を行うことを事業者自身の義務として重ねて課している。貸金業者では、与信情報を扱う担当者への教育・アクセス権限管理などがこの24条の監督義務の具体化に当たる。

補足個人データの取扱いを外部に委託する場合の委託先に対する監督義務は、24条の従業者監督とは別に25条で定められている。

正解：4（アー誤、イー誤）

ア．誤り

25条は「全部又は一部」の委託を対象 → 一部委託でも監督義務あり

個人情報の保護に関する法律第25条「個人データの取扱いの全部又は一部を委託する場合は、その取扱いを委託された個人データの安全管理が図られるよう、委託を受けた者に対する必要かつ適切な監督を行わなければならない」一次資料を確認

イ．誤り

25条は契約書の記載を要件としていない → 「契約書に定めがなければ負わない」は誤り

個人情報の保護に関する法律第25条「委託を受けた者に対する必要かつ適切な監督を行わなければならない」一次資料を確認

ひっかけ委託先の監督義務を「契約で決めた範囲の話」と捉えると、25条が委託という事実そのものから法律上当然に監督義務を発生させている点や、一部委託にも及ぶ点を見落とす。

解説25条は、個人情報取扱事業者が個人データの取扱いの全部又は一部を第三者に委託する場合、委託された個人データの安全管理が図られるよう、委託を受けた者（委託先）に対する必要かつ適切な監督を行うことを義務付けている。この義務は委託という事実から法律上当然に生じるものであり、委託契約書に監督条項を明記しているかどうかは義務発生の要件ではない。貸金業者が督促業務や事務処理の一部を外部委託する場合、業務の全部か一部かを問わず、委託先の選定・契約内容の確認・委託後の状況把握といった監督を継続的に行う必要がある。

補足委託先がさらに再委託を行う場合でも、元の個人情報取扱事業者の監督義務が形式的な契約の有無だけで消滅するものではない点に注意する。

正解：2（アー正、イー誤）

ア．正しい

26条1項本文が報告義務を規定 → 記述は正しい

個人情報の保護に関する法律第26条第1項「その取り扱う個人データの漏えい、滅失、毀損その他の個人データの安全の確保に係る事態であって個人の権利利益を害するおそれが大きいものとして個人情報保護委員会規則で定めるものが生じたときは、個人情報保護委員会規則で定めるところにより、当該事態が生じた旨を個人情報保護委員会に報告しなければならない」一次資料を確認

イ．誤り

2項ただし書に代替措置の例外あり → 「必ず本人通知が必要」は誤り

個人情報の保護に関する法律第26条第2項ただし書「本人への通知が困難な場合であって、本人の権利利益を保護するため必要なこれに代わるべき措置をとるときは、この限りでない」一次資料を確認

ひっかけ「漏えいが起きたら必ず本人に知らせなければならない」と丸暗記すると、本人への通知が困難な場合の代替措置という26条2項ただし書の例外を見落とす。

解説個人情報取扱事業者は、取り扱う個人データについて個人の権利利益を害するおそれが大きい漏えい等の事態が生じたときは、個人情報保護委員会規則の定めるところにより、その事態を個人情報保護委員会に報告しなければならない（26条1項）。さらに、報告対象となる場合には、原則として本人に対してもその事態が生じた旨を通知しなければならない（26条2項本文）が、本人への通知が困難であり、本人の権利利益保護のために必要な代替措置をとるときは、この限りでない（同項ただし書）。貸金業者が保有する顧客の個人データが漏えいした場合、委員会への報告と本人への通知（又は代替措置）の両方を意識する必要がある。

補足他の個人情報取扱事業者又は行政機関等から個人データの取扱いの委託を受けた事業者が、委託元に事態発生を通知したときは、自ら委員会に報告する義務を負わない（26条1項ただし書）。

正解：3（アー誤、イー正）

ア．誤り

40条は「努めなければならない」と規定 → 確定的な法的義務とする記述は誤り

個人情報の保護に関する法律第40条第1項「個人情報の取扱いに関する苦情の適切かつ迅速な処理に努めなければならない」一次資料を確認

イ．正しい

40条2項が体制整備の努力義務を規定 → 記述は正しい

個人情報の保護に関する法律第40条第2項「前項の目的を達成するために必要な体制の整備に努めなければならない」一次資料を確認

ひっかけ「〜しなければならない」と「〜に努めなければならない」の違いを読み飛ばすと、40条の苦情処理・体制整備が確定的な法的義務であるかのように誤読してしまう。

解説40条1項は、個人情報取扱事業者に対し、個人情報の取扱いに関する苦情の適切かつ迅速な処理に「努めなければならない」と定め、同条2項はそのために必要な体制の整備についても同様に「努めなければならない」と定めている。いずれも結果の確実な実現までを義務付ける規定ではなく、事業者に一定の努力を求める努力義務である点で、「しなければならない」という確定的な義務を定める23条（安全管理措置）や25条（委託先の監督）などとは規定の強さが異なる。条文の語尾（努めなければならない／しなければならない）の違いを意識して読む習慣をつけると、正誤判断の精度が上がる。

補足苦情処理体制の整備には、相談窓口の設置や苦情対応の手順の明確化などが実務上の対応例として挙げられる。

正解：2（アー正、イー誤）

ア．正しい

32条1項が公表等の対象事項を列挙 → 常時の公表または請求即応のいずれかで足りる

個人情報の保護に関する法律第32条第1項「本人の知り得る状態（本人の求めに応じて遅滞なく回答する場合を含む。）に置かなければならない」一次資料を確認

イ．誤り

32条2項ただし書が例外を規定 → 常時通知義務ではない

個人情報の保護に関する法律第32条第2項「前項の規定により当該本人が識別される保有個人データの利用目的が明らかな場合」一次資料を確認

ひっかけ「本人から求められたら必ず通知」という原則だけを覚えると、32条2項ただし書が定める例外（利用目的が既に明らかな場合・21条4項各号に該当する場合）を見落とす。

解説個人情報取扱事業者は、保有個人データについて事業者の氏名・住所、全ての利用目的、開示等の請求に応じる手続等を本人の知り得る状態に置かなければならない（32条1項）。さらに本人から利用目的の通知を求められた場合も原則として遅滞なく通知する義務があるが、利用目的が既に明らかな場合や21条4項各号（本人・第三者の権利利益を害するおそれがある場合等）に該当する場合は通知義務が除外される（32条2項）。貸金業者が与信審査等の目的をあらかじめプライバシーポリシー等で明示している場合、この「利用目的が明らかな場合」の例外に当たり得る。

補足手数料を定めた場合は、その額も本人の知り得る状態に置く事項に含まれる（32条1項3号・38条2項）。

正解：3（アー誤、イー正）

ア．誤り

34条1項が請求要件を「事実でないとき」に限定 → 単なる不満は請求原因にならない

個人情報の保護に関する法律第34条第1項「当該本人が識別される保有個人データの内容が事実でないときは、当該保有個人データの内容の訂正、追加又は削除」一次資料を確認

イ．正しい

34条2項が調査義務と例外を規定 → 請求＝即訂正ではなく調査結果に基づく判断

個人情報の保護に関する法律第34条第2項「その内容の訂正等に関して他の法令の規定により特別の手続が定められている場合を除き、利用目的の達成に必要な範囲内において、遅滞なく必要な調査を行い」一次資料を確認

ひっかけ「本人が求めれば訂正してもらえる」という理解だけだと、34条1項が請求原因を「事実でないとき」に限定している点と、34条2項が「調査の上での判断」を要求している点の両方を見落とす。

解説訂正等の請求権は、保有個人データの内容が客観的に事実でない場合に限られ（34条1項）、単に本人が内容に納得していないというだけでは請求原因にならない。請求を受けた事業者は、他の法令が特別の手続を定めている場合を除き、利用目的の達成に必要な範囲内で遅滞なく調査を行い、その結果に基づいて訂正等を行うか否かを判断する（34条2項）。貸金業者が保有する信用情報の訂正請求では、信用情報機関側の記録との照合など「必要な調査」が実務上の対応の中心となる。

補足訂正等を行った場合・行わない旨を決定した場合のいずれも、本人に遅滞なくその旨（訂正等を行ったときはその内容を含む）を通知しなければならない（34条3項）。

正解：1（アー正、イー正）

ア．正しい

27条5項3号が共同利用の要件を列挙 → 要件充足で第三者提供の同意取得が不要になる

個人情報の保護に関する法律第27条第5項第3号「共同して利用する者の範囲、利用する者の利用目的並びに当該個人データの管理について責任を有する者の氏名又は名称及び住所」一次資料を確認

イ．正しい

27条6項が変更時の通知義務を規定 → 共同利用開始後も継続的な情報更新義務がある

個人情報の保護に関する法律第27条第6項「管理について責任を有する者の氏名、名称若しくは住所又は法人にあっては、その代表者の氏名に変更があったときは遅滞なく」一次資料を確認

ひっかけ共同利用を「一度手続をすれば終わり」の制度と誤解すると、27条6項が定める管理責任者の変更時の継続的な通知義務を見落とす。

解説特定の者との間で共同利用される個人データについて、共同利用者の範囲・利用目的・管理責任者の氏名等の一定事項をあらかじめ本人に通知し、又は本人が容易に知り得る状態に置いているときは、提供を受ける者は第三者提供の制限（27条1項）の適用上「第三者」に該当しない（27条5項3号）。ただし、この地位は固定的なものではなく、管理責任者の氏名等に変更があった場合は遅滞なく、利用目的や管理責任者そのものを変更しようとする場合はあらかじめ、その旨を本人に通知し、又は本人が容易に知り得る状態に置かなければならない（27条6項）。貸金業者がグループ会社間で顧客情報を共同利用する場合、この継続的な情報更新義務を怠ると共同利用の要件を欠くことになりかねない。

補足共同利用は、個人情報保護委員会への届出は不要である点で、オプトアウトによる第三者提供（27条2項、委員会への届出が必要）とは異なる。

正解：4（アー誤、イー誤）

ア．誤り

31条1項は提供先の国内・国外を問わず同意確認を求める → 国内限定の適用除外はない

個人情報の保護に関する法律第31条第1項「あらかじめ個人情報保護委員会規則で定めるところにより確認することをしないで、当該個人関連情報を当該第三者に提供してはならない」一次資料を確認

イ．誤り

31条1項2号が「あらかじめ…提供されていること」を要件化 → 本人からの要求待ちでは足りない

個人情報の保護に関する法律第31条第1項第2号「あらかじめ、当該外国における個人情報の保護に関する制度、当該第三者が講ずる個人情報の保護のための措置その他当該本人に参考となるべき情報が当該本人に提供されていること」一次資料を確認

ひっかけ個人関連情報の規制を「個人情報そのものではないから緩い」と誤解すると、31条が提供元・提供先いずれの属性にも左右されず一律に同意確認を求めている点を見落とす。

解説個人関連情報取扱事業者は、第三者が個人関連情報（cookie等を通じた識別子に紐づく閲覧履歴等）を個人データとして取得することが想定されるときは、27条1項各号の場合を除き、あらかじめ本人の同意が得られていること等を個人情報保護委員会規則で定める方法により確認しない限り、当該第三者に提供してはならない（31条1項1号）。提供先が外国にある第三者の場合は、これに加えて、当該外国の個人情報保護制度等、本人の参考となる情報をあらかじめ本人に提供していることも確認事項となる（同項2号）。貸金業者が広告配信やスコアリングのために外部事業者へ閲覧・行動データを渡す場面は、この規制の典型的な対象となる。

補足31条1項各号の確認義務は、27条1項各号（法令に基づく場合等）に該当する場合には適用されない。

正解：2（アー正、イー誤）

ア．正しい

43条4項が公表義務と明示義務を規定 → 提供先が匿名加工情報だと認識できる状態を確保する

個人情報の保護に関する法律第43条第4項「第三者に提供される匿名加工情報に含まれる個人に関する情報の項目及びその提供の方法について公表するとともに、当該第三者に対して、当該提供に係る情報が匿名加工情報である旨を明示しなければならない」一次資料を確認

イ．誤り

45条が識別行為を禁止する識別禁止規定 → 匿名加工情報の非識別性を維持するため例外なく禁止される

個人情報の保護に関する法律第45条「当該匿名加工情報を他の情報と照合してはならない」一次資料を確認

ひっかけ匿名加工情報を「加工さえすれば自由に使える情報」と捉えると、45条が定める識別行為の絶対的禁止（業務上の必要性による例外なし）を見落とす。

解説個人情報取扱事業者は、匿名加工情報を作成したときは加工方法等の安全管理措置を講じ（43条2項）、作成に用いた情報の項目を公表し（43条3項）、第三者に提供する場合はあらかじめ項目・提供方法を公表するとともに提供先に匿名加工情報である旨を明示しなければならない（43条4項）。さらに、作成者・提供を受けた匿名加工情報取扱事業者のいずれも、本人を識別する目的で削除情報等を取得したり他の情報と照合したりすることは禁止される（45条）。貸金業者が統計分析や商品開発のために顧客データを匿名加工情報化して活用・提供する場合、この識別禁止規定を厳格に遵守する必要がある。

補足匿名加工情報を自ら取り扱う場合にも、作成に用いた個人情報の本人を識別するための他情報との照合は禁止される（43条5項）。

正解：3（アー誤、イー正）

ア．誤り

146条3項が犯罪捜査目的での解釈を明文で禁止 → 刑事手続の証拠収集には使えない

個人情報の保護に関する法律第146条第3項「立入検査の権限は、犯罪捜査のために認められたものと解釈してはならない」一次資料を確認

イ．正しい

146条1項が委員会の監督権限を規定 → 法の施行確保のための行政調査手段として機能する

個人情報の保護に関する法律第146条第1項「必要な報告若しくは資料の提出を求め、又はその職員に、当該個人情報取扱事業者等その他の関係者の事務所その他必要な場所に立ち入らせ、個人情報等の取扱いに関し質問させ、若しくは帳簿書類その他の物件を検査させることができる」一次資料を確認

ひっかけ行政調査を「捜査の一種」と混同すると、146条3項が立入検査の権限を犯罪捜査目的と解釈することを明文で禁じている点を見落とす。

解説個人情報保護委員会は、個人情報等の取扱いに関する規定（第四章）の施行に必要な限度において、個人情報取扱事業者等その他の関係者に報告・資料提出を求め、又は職員に事務所等へ立ち入らせて質問・物件検査をさせることができる（146条1項）。この権限は行政調査であって刑事訴訟法上の捜査ではなく、犯罪捜査のために認められたものと解釈してはならない（146条3項）。貸金業者が委員会から報告徴収・立入検査を受ける場合も、これは行政上の監督権限の行使であり、刑事手続とは法的性質が異なる点を理解しておく必要がある。

補足立入検査を行う職員は身分証明書を携帯し、関係人の請求があれば提示しなければならない（146条2項）。