個人情報保護法の定義の問題（20問）

正解：1（アー正、イー正）

ア．正しい

容易照合性 → 個人情報に含む

個人情報保護法第2条第1項「生存する個人に関する情報であって」e-Gov原文

個人情報保護法第2条第1項第1号「他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなるものを含む」e-Gov原文

イ．正しい

個人識別符号 → 単体で個人情報

個人情報保護法第2条第1項第2号「個人識別符号が含まれるもの」e-Gov原文

ひっかけ「その情報単体で個人を特定できなければ個人情報ではない」と読むと、容易照合性を見落としてアを誤る。

解説個人情報保護法2条1項は、生存する個人に関する情報のうち、(1) 氏名等により特定の個人を識別できるもの（他の情報と容易に照合でき、それにより特定の個人を識別できることとなるものを含む）、または (2) 個人識別符号が含まれるものを「個人情報」と定める。1号の容易照合性により、社員番号やメールアドレスのように単体では誰のものか分からない情報でも、社内の名簿等と容易に突き合わせて個人を特定できるなら個人情報に当たる。だからアは正しい。2号の個人識別符号は、指紋データやマイナンバー、運転免許証番号のように、それ自体で個人情報となるもので、イも正しい。アは容易照合性、イは個人識別符号と、別々の号を根拠に同じ結論へ至る。

補足個人識別符号は法2条2項を受けた政令・規則で限定列挙されており、旅券番号・基礎年金番号・運転免許証番号などが該当する。

正解：2（アー正、イー誤）

ア．正しい

差別・偏見を生みうる情報 → 要配慮

個人情報保護法第2条第3項「本人の人種、信条、社会的身分、病歴、犯罪の経歴、犯罪により害を被った事実」e-Gov原文

イ．誤り

取得に同意原則 → 通常情報より厳格

個人情報保護法第20条第2項「あらかじめ本人の同意を得ないで、要配慮個人情報を取得してはならない」e-Gov原文

ひっかけ通常の個人情報と同じく「取得は自由」と当てはめると、イで取得時の同意原則を踏み外す。

解説人種・信条・社会的身分・病歴・犯罪の経歴・犯罪被害の事実などは、本人への不当な差別や偏見が生じないよう取扱いに特に配慮を要するものとして、要配慮個人情報に位置づけられる（個人情報保護法2条3項）。アはその例示どおりで正しい。通常の個人情報は取得自体に同意を要しないが、要配慮個人情報は、法令に基づく場合など一定の例外を除き、あらかじめ本人の同意を得なければ取得できない（同20条2項）。イは「同意なく取得できる」とする点で誤り。差が出るのは取得の入口で、ここに同意原則が立つかどうかが通常の個人情報との分かれ目になる。

補足20条2項の例外には、法令に基づく場合のほか、人の生命・身体・財産の保護に必要で本人同意を得るのが困難な場合などが各号で並ぶ。

正解：3（アー誤、イー正）

ア．誤り

散在情報は個人データでない

個人情報保護法第16条第3項「「個人データ」とは、個人情報データベース等を構成する個人情報をいう」e-Gov原文

イ．正しい

本人の請求に応じうる個人データ

個人情報保護法第16条第4項「個人情報取扱事業者が、開示、内容の訂正、追加又は削除、利用の停止、消去及び第三者への提供の停止を行うことのできる権限を有する個人データ」e-Gov原文

ひっかけ「個人情報イコール個人データ」と置き換えると、データベース等を構成するという限定が抜けてアを取り違える。

解説個人情報・個人データ・保有個人データは入れ子になっている。個人情報のうち、検索できるよう体系的に構成された個人情報データベース等を構成するものが「個人データ」である（個人情報保護法16条3項）。名刺の山のような散在情報はここに含まれないから、「事業者が取り扱うすべての個人情報が個人データ」とするアは誤り。そのうえで、個人データのうち事業者が開示・内容の訂正等・利用停止等を行う権限を持つもの（一定の例外を除く）が「保有個人データ」であり（同16条4項）、本人の開示請求等の対象になる。イはこの定義どおりで正しい。範囲は個人情報、個人データ、保有個人データの順に狭くなる。

補足「一定のものを除く」とは、存否が明らかになると本人や第三者の生命・身体等を害するおそれがある等の政令所定のデータで、これらは保有個人データから外れ開示請求等の対象にならない。

正解：1（アー正、イー正）

ア．正しい

取扱量の多寡を問わない

個人情報保護法第16条第2項「「個人情報取扱事業者」とは、個人情報データベース等を事業の用に供している者をいう」e-Gov原文

イ．正しい

公的機関は別の規律

個人情報保護法第16条第2項「一国の機関二地方公共団体三独立行政法人等四地方独立行政法人」e-Gov原文

ひっかけ「件数が少なければ事業者ではない」と当てはめると、件数を問わない定義からはずれてアを誤る。

解説個人情報取扱事業者とは、個人情報データベース等を事業の用に供している者をいう（個人情報保護法16条2項本文）。法人か個人事業主かを問わず、取扱件数の多寡も問わないから、「小規模だから当たらない」という理屈は通らず、アは正しい。一方、国の機関、地方公共団体、独立行政法人等、地方独立行政法人といった公的部門は、行政機関等として別の規律に服するため、この定義から除かれる（同項各号）。イもこの除外どおりで正しい。民間事業者向けの義務規定の名宛人を画する定義であり、その射程の内と外を一つの条で示している。

補足かつて存在した「過去6か月で5,000件以下なら適用外」という件数要件は、平成27年改正で撤廃され、データベース等を扱う限り件数にかかわらず事業者となった。

正解：2（アー正、イー誤）

ア．正しい

Cookie等の閲覧履歴など

個人情報保護法第2条第7項「「個人関連情報」とは、生存する個人に関する情報であって、個人情報、仮名加工情報及び匿名加工情報のいずれにも該当しないものをいう」e-Gov原文

イ．誤り

復元不可 → 匿名加工情報の要件

個人情報保護法第2条第6項「特定の個人を識別することができないように個人情報を加工して得られる個人に関する情報であって、当該個人情報を復元することができないようにしたものをいう」e-Gov原文

ひっかけ匿名加工情報を「あとで元に戻せる加工」と読むと、復元不能という要件を逆に取ってイを誤る。

解説個人情報保護法は個人情報のほかにも情報区分を設ける。個人関連情報は、Cookieに紐づく閲覧履歴のように、生存する個人に関する情報でありながら個人情報・仮名加工情報・匿名加工情報のいずれにも該当しないものをいう（2条7項）。アはこの定義どおりで正しい。匿名加工情報は、特定の個人を識別できないように個人情報を加工し、かつ元の個人情報を復元できないようにしたものをいう（2条6項）。イは「復元できるようにしたもの」とする点で定義と正反対であり、誤り。復元できる時点でそれは匿名加工情報ではない。

補足個人関連情報は、提供先が個人データとして取得すると見込まれる場合、提供にあたり本人同意の確認等が課される（31条）点で、まったく自由な情報ではない。

正解：1（アー正、イー正）

ア．正しい

識別行為の禁止

個人情報保護法第41条第7項「仮名加工情報を取り扱うに当たっては、当該仮名加工情報の作成に用いられた個人情報に係る本人を識別するために、当該仮名加工情報を他の情報と照合してはならない」e-Gov原文

イ．正しい

加工基準

個人情報保護法第41条第1項「他の情報と照合しない限り特定の個人を識別することができないようにするために必要なものとして個人情報保護委員会規則で定める基準に従い、個人情報を加工しなければならない」e-Gov原文

ひっかけ「単独で個人を特定しにくくしただけ」と軽く扱うと、作成基準と照合禁止という二段構えを見落としやすい。

解説仮名加工情報は、他の情報と照合しない限り特定の個人を識別することができないように個人情報を加工した情報である。作成にあたっては、個人情報保護委員会規則で定める基準に従って個人情報を加工しなければならず（個人情報保護法41条1項）、イはこの加工基準どおりで正しい。取扱いにあたっては、その作成に用いられた個人情報の本人を識別するために、当該仮名加工情報を他の情報と照合してはならない（同41条7項）。アはこの照合禁止どおりで正しい。イが作成の入口、アが取扱いの局面と、規律する場面は違うが、どちらも本人の再識別を遠ざける方向で働く。

補足仮名加工情報は内部分析向けの区分で、原則として第三者提供が禁止される（委託・事業承継・共同利用の場合を除く）点が、第三者提供を許す匿名加工情報との実務上の分かれ目になる。

正解：2（アー正、イー誤）

ア．正しい

加工基準

個人情報保護法第43条第1項「特定の個人を識別すること及びその作成に用いる個人情報を復元することができないようにするために必要なものとして個人情報保護委員会規則で定める基準に従い、当該個人情報を加工しなければならない」e-Gov原文

イ．誤り

公表義務

個人情報保護法第43条第3項「当該匿名加工情報に含まれる個人に関する情報の項目を公表しなければならない」e-Gov原文

ひっかけ「同意不要だから手続も不要」とまとめると、作成時に課される項目公表を落としてイを誤る。

解説匿名加工情報は、特定の個人を識別できず、かつ作成に用いた個人情報を復元できないように加工した情報である。作成にあたっては、識別不能・復元不能とするための基準に従って加工しなければならず（個人情報保護法43条1項）、アはこの基準どおりで正しい。そして作成したときは、当該匿名加工情報に含まれる個人に関する情報の項目を公表しなければならない（同43条3項）。イは「公表する必要はない」とする点で誤り。本人同意なく利活用できる代わりに、どんな項目を含むかを外から見えるようにする公表が手続として組み込まれている。

補足公表は項目だけにとどまらず、第三者提供時には提供する情報の項目と提供方法もあらかじめ公表する必要があり（43条4項）、作成時と提供時の二度公表が出てくる。

正解：3（アー誤、イー正）

ア．誤り

識別行為の禁止

個人情報保護法第45条「当該匿名加工情報を他の情報と照合してはならない」e-Gov原文

イ．正しい

再識別の防止

個人情報保護法第45条「当該匿名加工情報を他の情報と照合してはならない」e-Gov原文

ひっかけ「匿名だからどう扱っても問題ない」と読むと、再識別を狙う取得・照合の禁止を見落としてアを正と誤る。

解説匿名加工情報は本人を識別できないようにした情報だが、これを再び本人と結び付ける行為を許せば加工の意味が失われる。そこで匿名加工情報取扱事業者は、本人を識別するために、削除された記述等や加工方法に関する情報を取得し、又は当該匿名加工情報を他の情報と照合してはならない（個人情報保護法45条）。アは「自由にできる」とする点でこの禁止に真っ向から反し、誤り。イは照合禁止をそのまま述べており正しい。ア・イは同じ45条の同じ禁止を、許容形と禁止形で裏返しに問うているだけで、結論は一方だけが条文に沿う。

補足同じ照合禁止でも、仮名加工情報は作成元の事業者自身による本人識別を封じるのに対し、匿名加工情報は45条が削除された記述等の取得まで併せて禁じ、再識別の入口をより広く塞いでいる。

正解：2（アー正、イー誤）

ア．正しい

適用除外

個人情報保護法第57条第1項「この章の規定は、適用しない」e-Gov原文

個人情報保護法第57条第1項第1号「放送機関、新聞社、通信社その他の報道機関」e-Gov原文

イ．誤り

表現の自由

個人情報保護法第57条第1項「この章の規定は、適用しない」e-Gov原文

ひっかけ適用除外を報道機関だけのものと思い込むと、同じ条に並ぶ著述業者を見落としてイを誤る。

解説表現の自由・信教の自由・政治活動の自由への配慮から、個人情報取扱事業者等のうち一定の主体については、その本来の目的で個人情報等を取り扱うとき、個人情報取扱事業者等の義務に関する章の規定が適用されない（個人情報保護法57条1項）。対象は (1) 報道機関（報道目的）、(2) 著述を業とする者（著述目的）、(3) 宗教団体（宗教活動目的）、(4) 政治団体（政治活動目的）である。アの報道機関は1号に当たり正しい。イは著述業者の著述目的の取扱いが「すべて適用される」とするが、これも2号で適用除外となるため誤り。報道だけでなく著述も同じ57条1項に並んでいる。

補足従来は学術研究機関等も一律の適用除外に含まれていたが、令和3年改正でこの一律除外は外れ、利用目的による制限など義務ごとの個別例外として組み替えられた。

正解：3（アー誤、イー正）

ア．誤り

自主的措置

個人情報保護法第57条第3項「当該措置の内容を公表するよう努めなければならない」e-Gov原文

イ．正しい

努力義務

個人情報保護法第57条第3項「当該措置の内容を公表するよう努めなければならない」e-Gov原文

ひっかけ「適用除外イコール完全に自由」と短絡すると、57条3項の自主的措置の努力義務を見落としてアを正と誤る。

解説適用除外（個人情報保護法57条1項）を受ける報道機関・著述業者・宗教団体・政治団体は、義務規定の名宛人から外れるが、それで何の責任も負わなくなるわけではない。これらの者は、個人データ・仮名加工情報・匿名加工情報の安全管理のために必要かつ適切な措置、苦情処理その他の適正な取扱いを確保するために必要な措置を自ら講じ、かつその内容を公表するよう努めなければならない（同57条3項）。アは「何らの努力義務も負わない」とするため誤り。イはこの努力義務をそのまま述べており正しい。義務規定の不適用と、自主的措置の努力義務は両立する。

補足57条3項は「公表するよう努めなければならない」という努力義務であり、措置を怠っても個人情報保護委員会の命令や罰則の対象にはならない点で、本則の義務規定とは強制力が異なる。

正解：4（アー誤、イー誤）

ア．誤り

適用除外

個人情報保護法第57条第1項「この章の規定は、適用しない」e-Gov原文

イ．誤り

努力義務

個人情報保護法第57条第3項「当該措置の内容を公表するよう努めなければならない」e-Gov原文

ひっかけ宗教団体・政治団体も、本来の活動目的なら義務規定の適用から外れる。

解説義務規定の適用除外（個人情報保護法57条1項）は、報道機関の報道目的だけでなく、著述業者の著述目的、宗教団体の宗教活動目的、政治団体の政治活動目的での取扱いにも及ぶ。表現・信教・政治活動の自由への配慮による。だからアの「すべて適用される」は誤り。もっとも、適用除外を受ける者も、安全管理措置や苦情処理等を自ら講じ、その内容を公表するよう努めなければならない（同57条3項）。義務がすべて消えるわけではないので、イの「努める必要はない」も誤りで、結論はアー誤・イー誤となる。

補足令和3年改正で、学術研究機関等の包括的な適用除外は廃止され、利用目的の制限や安全管理措置ごとの個別の例外規定に整理された。包括除外が残るのは報道・著述・宗教・政治の4類型である。

正解：2（アー正、イー誤）

ア．正しい

取得制限

個人情報保護法第20条第2項「あらかじめ本人の同意を得ないで、要配慮個人情報を取得してはならない」e-Gov原文

イ．誤り

公開情報の例外

個人情報保護法第20条第2項「本人、国の機関、地方公共団体、学術研究機関等」e-Gov原文

ひっかけ公開済みの要配慮情報の取得には、本人の同意はいらない。

解説要配慮個人情報は、あらかじめ本人の同意を得なければ取得できないのが原則である（個人情報保護法20条2項）。例外として、法令に基づく場合、人の生命・身体・財産の保護に必要で同意が困難な場合、公衆衛生・児童育成に特に必要で同意が困難な場合などがあり、アはこの原則と例外を正しく述べている。さらに、本人、国の機関、地方公共団体、学術研究機関等によって公開されている要配慮個人情報は、同意なく取得できる（同項7号）。すでに公開された情報の取得にまで同意を求める必要はないので、「常に本人の同意が必要」とするイは誤り。よってアー正・イー誤。

補足公開していれば同意不要というのは取得の場面の話で、取得後にその要配慮個人情報を第三者へ提供する際は、原則どおりオプトアウトが使えず本人同意が必要になる。

正解：4（アー誤、イー誤）

ア．誤り

個人データ

個人情報保護法第16条第3項「「個人データ」とは、個人情報データベース等を構成する個人情報をいう」e-Gov原文

イ．誤り

保有個人データ

個人情報保護法第16条第4項「個人情報取扱事業者が、開示、内容の訂正、追加又は削除、利用の停止、消去及び第三者への提供の停止を行うことのできる権限を有する個人データ」e-Gov原文

ひっかけ個人データはデータベースを構成するものだけ、保有個人データは開示等の権限があるものだけ。

解説個人データは、個人情報のうち個人情報データベース等を構成するものをいう（個人情報保護法16条3項）。机の上に散らばった名刺のような散在情報は含まれないから、「データベース等を構成するか否かを問わず、すべての個人情報」とするアは誤り。保有個人データは、その個人データのうち、事業者が開示・内容の訂正等・利用停止等を行う権限を有するものをいう（同16条4項）。権限を有しないものは入らないので、イも誤り。範囲は個人情報＞個人データ＞保有個人データの順に狭くなり、結論はアー誤・イー誤。

補足かつては6か月以内に消去する短期保存データを保有個人データから除いていたが、令和2年改正でこの除外が廃止され、短期保存のものも保有個人データに含まれることになった。

正解：3（アー誤、イー正）

ア．誤り

媒体を問わない

個人情報保護法第16条第1項「特定の個人情報を容易に検索することができるように体系的に構成したものとして政令で定めるもの」e-Gov原文

イ．正しい

定義

個人情報保護法第16条第1項「特定の個人情報を容易に検索することができるように体系的に構成したものとして政令で定めるもの」e-Gov原文

ひっかけ五十音順で引ける紙の顧客カードも、立派な「個人情報データベース等」になる。

解説個人情報データベース等は、(1)特定の個人情報を電子計算機を用いて検索できるように体系的に構成したもの、(2)そのほか、特定の個人情報を容易に検索できるように体系的に構成したものとして政令で定めるもの、をいう（個人情報保護法16条1項）。(2)には五十音順に並べた紙の顧客カードなども当たるので、「紙媒体の名簿等は一切含まれない」とするアは誤り。電子に限らずこれらを含むとするイが、定義どおりで正しい。これを構成する個人情報が「個人データ」となる。結論はアー誤・イー正。

補足もっとも、市販の電話帳や住宅地図のように、利用方法からみて個人の権利利益を害するおそれが少ないものとして政令で定めるものは、この定義から除かれる。

正解：2（アー正、イー誤）

ア．正しい

2条5項の定義

個人情報保護法第2条第5項「他の情報と照合しない限り特定の個人を識別することができないように個人情報を加工して得られる個人に関する情報」e-Gov原文

イ．誤り

匿名加工情報との混同に注意

個人情報保護法第2条第5項「他の情報と照合しない限り特定の個人を識別することができないように個人情報を加工して得られる個人に関する情報」e-Gov原文

ひっかけ仮名加工情報は匿名加工情報と混同しやすい。

解説仮名加工情報は、個人情報を加工し、他の情報と照合しない限り特定の個人を識別できないようにした個人に関する情報である。アは正しい。イは、照合しても識別できない情報に限るとするが、仮名加工情報は『他の情報と照合しない限り』という定義なので誤り。

補足仮名加工情報は利用目的変更などの取扱いにも特則があるため、定義から押さえる。

正解：2（アー正、イー誤）

ア．正しい

請求権や同意の主体を画する基本定義

個人情報保護法第2条第4項「個人情報によって識別される特定の個人をいう」e-Gov原文

イ．誤り

本人同意・開示請求などの主体を誤る

個人情報保護法第2条第4項「個人情報について「本人」とは、個人情報によって識別される特定の個人をいう」e-Gov原文

ひっかけ本人とは『情報の対象者』。事業者や担当者ではない。

解説個人情報保護法の『本人』は、その個人情報によって識別される特定の個人をいう。本人同意、本人通知、開示等請求の『本人』は、情報の対象となっている人であって、情報を管理する事業者の担当者ではない。定義は短いが、以後の義務規定を読む入口になる。

補足個人関連情報など、本人を直接識別できない情報区分では、この本人との結び付きが問題になる。

正解：2（アー正、イー誤）

ア．正しい

指紋・顔認識データ等を想定する類型

個人情報保護法第2条第2項第1号「特定の個人の身体の一部の特徴を電子計算機の用に供するために変換した文字、番号、記号その他の符号」e-Gov原文

イ．誤り

旅券番号・運転免許証番号等を想定する類型

個人情報保護法第2条第2項第2号「その利用者若しくは購入者又は発行を受ける者ごとに異なるものとなるように割り当てられ」e-Gov原文

ひっかけ個人識別符号は『生体特徴型』だけではない。番号・記号型もある。

解説個人識別符号は大きく、身体特徴を電子計算機用に変換した符号と、役務利用・商品購入・カード等に関して個人ごとに異なるよう割り当てられる符号に分かれる。前者は生体認証データ、後者は旅券番号や免許証番号などをイメージすると整理しやすい。いずれも政令で定めるものに限られる。

補足2条1項2号により、個人識別符号を含む情報は個人情報に当たる。

正解：1（アー正、イー正）

ア．正しい

仮名加工情報の取扱義務の名宛人を画する

個人情報保護法第16条第5項「仮名加工情報を含む情報の集合物であって」e-Gov原文

イ．正しい

民間事業者向けの章の定義であるため

個人情報保護法第16条第5項「ただし、第二項各号に掲げる者を除く」e-Gov原文

ひっかけ『仮名加工情報を持っているだけ』ではなく、検索可能な集合物を事業利用しているかを見る。

解説仮名加工情報取扱事業者は、仮名加工情報を含む検索可能な情報集合物、すなわち仮名加工情報データベース等を事業の用に供している者である。ただし、国の機関、地方公共団体、独立行政法人等、地方独立行政法人は除かれる。個人情報取扱事業者と同じく、民間部門の義務主体を画する定義として読む。

補足仮名加工情報そのものの定義は2条5項、取扱事業者の定義は16条5項。

正解：2（アー正、イー誤）

ア．正しい

匿名加工情報の提供時公表・明示等の名宛人を画する

個人情報保護法第16条第6項「匿名加工情報を含む情報の集合物であって」e-Gov原文

イ．誤り

単なる私的保管を当然に含める定義ではない

個人情報保護法第16条第6項「を事業の用に供している者をいう」e-Gov原文

ひっかけ匿名加工情報そのものの定義と、匿名加工情報取扱事業者の定義を混同しない。

解説匿名加工情報取扱事業者は、匿名加工情報を含む検索可能な情報集合物を事業の用に供している者である。匿名加工情報そのものは2条6項で定義され、取扱事業者は16条6項で定義される。どちらも『匿名加工情報』という語を含むが、情報区分の定義と義務主体の定義を分けて読む必要がある。

補足匿名加工情報は提供可能だが、提供時には情報項目・提供方法の公表や明示など別の規律がある。

正解：1（アー正、イー正）

ア．正しい

個人関連情報の第三者提供規制の名宛人を画する

個人情報保護法第16条第7項「個人関連情報を含む情報の集合物であって」e-Gov原文

イ．正しい

16条5項・6項と同じ除外構造

個人情報保護法第16条第7項「ただし、第二項各号に掲げる者を除く」e-Gov原文

ひっかけ個人関連情報は情報区分、個人関連情報取扱事業者は義務主体。

解説個人関連情報取扱事業者は、個人関連情報を含む検索可能な情報集合物を事業の用に供している者である。個人関連情報自体は、個人情報・仮名加工情報・匿名加工情報のいずれにも該当しない生存する個人に関する情報であり、取扱事業者の定義は16条7項で別に置かれている。提供先で個人データとして取得される見込みがある場面では31条の確認義務につながる。

補足16条5項から7項は、仮名・匿名・個人関連情報の各データベース等を事業利用する者を並行して定義している。