印刷プレビューです。ブラウザの印刷機能でPDF保存・印刷できます。

個人情報保護士認定検定個人情報保護法の応用・事例

全40問／トルカ（https://toruca.app）

問1. 死者に関する情報の個人情報保護法上の取扱いとして最も適切なものはどれか。
- A. 個人情報保護法の「個人情報」は生存する個人に関する情報を対象とするため、死者のみに関する情報は原則として同法の直接の対象外となる（ただし遺族等の生存する個人の情報を兼ねる場合はその限りでない）
- B. 死者に関する情報も生存する個人と全く同様に個人情報保護法の直接の保護対象となる
- C. 死者に関する情報は個人情報保護法上、要配慮個人情報として自動的に扱われる
- D. 死者に関する情報は法律上いかなる規制も一切受けない
正解: A. 個人情報保護法の「個人情報」は生存する個人に関する情報を対象とするため、死者のみに関する情報は原則として同法の直接の対象外となる（ただし遺族等の生存する個人の情報を兼ねる場合はその限りでない）／個人情報保護法上の「個人情報」は生存する個人に関する情報を対象としているため、死者のみに関する情報は原則として同法の直接の対象外となる。ただし、死者に関する情報が同時に遺族等、生存する個人に関する情報でもある場合には、その限りにおいて個人情報に該当しうる。
問2. 営業担当者が取引先の担当者と名刺交換をし、その名刺の情報を自社の顧客管理システムに入力する行為の個人情報保護法上の位置づけとして最も適切なものはどれか。
- A. 名刺に記載された氏名・会社名・連絡先等は個人情報に該当し、これをデータベース化して管理することは個人情報の取得・利用に該当する
- B. 名刺交換で得た情報は個人情報保護法上一切個人情報に該当しない
- C. 名刺交換で得た情報は要配慮個人情報に自動的に該当する
- D. 名刺の情報をシステムに入力する行為には個人情報保護法が一切適用されない
正解: A. 名刺に記載された氏名・会社名・連絡先等は個人情報に該当し、これをデータベース化して管理することは個人情報の取得・利用に該当する／名刺に記載された氏名・会社名・連絡先等は、特定の個人を識別できる情報であるため個人情報に該当し、これを自社の顧客管理システム（個人情報データベース等）に入力して管理する行為は、個人情報の取得及び個人データとしての利用に該当し、個人情報保護法の適用対象となる。
問3. 店舗の防犯カメラに映った来店客の映像の個人情報保護法上の取扱いとして最も適切なものはどれか。
- A. 特定の個人を識別できる映像である場合は個人情報に該当し、防犯目的等の利用目的を公表・掲示する等の対応が求められる
- B. 防犯カメラの映像は個人情報保護法上いかなる場合も個人情報に該当しない
- C. 防犯カメラの映像は要配慮個人情報にのみ該当し通常の個人情報には該当しない
- D. 防犯カメラの設置には個人情報保護法上の対応は一切不要である
正解: A. 特定の個人を識別できる映像である場合は個人情報に該当し、防犯目的等の利用目的を公表・掲示する等の対応が求められる／防犯カメラに映った来店客の映像は、特定の個人を識別できる場合には個人情報に該当し、事業者は防犯目的等の利用目的の特定・公表（カメラ作動中である旨の掲示等）や、適切な保管期間の設定等、個人情報保護法上の対応が求められる。
問4. 企業が採用選考にあたり応募者から取得する個人情報について留意すべき点として最も適切なものはどれか。
- A. 採用選考に必要な範囲を超える情報（本籍地・思想信条等）の取得は、要配慮個人情報や社会的差別の原因となりうる情報の取得として、就職差別につながらないよう特に配慮が求められる
- B. 採用選考では応募者のあらゆる個人情報を無制限に取得してよい
- C. 採用選考で取得した個人情報には利用目的の特定義務は一切適用されない
- D. 採用選考で取得した個人情報は選考終了後も無期限に保管しなければならない
正解: A. 採用選考に必要な範囲を超える情報（本籍地・思想信条等）の取得は、要配慮個人情報や社会的差別の原因となりうる情報の取得として、就職差別につながらないよう特に配慮が求められる／企業が採用選考にあたり応募者から個人情報を取得する場合、選考に必要な範囲を超える情報（本籍地・思想信条・支持政党等）の取得は、就職差別につながる可能性があるため、職業安定法に基づく指針等でも取得が制限されており、個人情報保護法上も要配慮個人情報に該当しうる情報の取得には特に慎重な配慮が求められる。
問5. 企業グループ内の複数の会社が顧客情報を共有する場合に個人情報保護法上適法とするための一般的な方法として最も適切なものはどれか。
- A. 共同利用の要件（共同利用する旨、共同利用される個人データの項目、共同利用者の範囲、利用目的、管理責任者等をあらかじめ本人に通知するか容易に知り得る状態に置くこと等）を満たして共同利用とする、または個別に本人の同意を得る
- B. グループ会社間であればいかなる場合も個人情報保護法の適用対象外となり自由に共有できる
- C. グループ会社間の共有には常に個人情報保護委員会への事前届出のみが必要で本人への対応は一切不要である
- D. グループ会社間の共有は第三者提供に該当せず一切の手続きが不要である
正解: A. 共同利用の要件（共同利用する旨、共同利用される個人データの項目、共同利用者の範囲、利用目的、管理責任者等をあらかじめ本人に通知するか容易に知り得る状態に置くこと等）を満たして共同利用とする、または個別に本人の同意を得る／企業グループ内であっても、法的に別法人である会社間での個人データの授受は原則として第三者提供に該当するため、共同利用の要件（共同利用する旨、共同利用される個人データの項目、共同利用者の範囲、利用目的、管理責任を有する者の氏名等をあらかじめ本人に通知するか、本人が容易に知り得る状態に置くこと）を満たして共同利用とする、または個別に本人の同意を得る等の対応が必要となる。
問6. 個人データの取扱いを外部の事業者に委託する場合、委託元に求められる対応として最も適切なものはどれか。
- A. 委託先において個人データの安全管理が図られるよう、必要かつ適切な監督を行わなければならない（委託先の選定、委託契約の締結、委託先における取扱状況の把握等）
- B. 委託を行えば委託元の安全管理措置義務は完全に免除される
- C. 委託先の監督義務は法律上存在せず完全に任意である
- D. 委託先の選定にあたり個人情報保護法上の基準は一切存在しない
正解: A. 委託先において個人データの安全管理が図られるよう、必要かつ適切な監督を行わなければならない（委託先の選定、委託契約の締結、委託先における取扱状況の把握等）／個人情報保護法は、個人データの取扱いの全部または一部を委託する場合、委託元（個人情報取扱事業者）に対し、委託先において個人データの安全管理が図られるよう、必要かつ適切な監督を行う義務を課しており、具体的には適切な委託先の選定、安全管理措置に関する委託契約の締結、委託先における個人データの取扱状況の把握等が求められる。
問7. 委託先がさらに別の事業者へ再委託を行う場合の委託元の責任として最も適切なものはどれか。
- A. 委託元は、再委託先も含めて個人データの安全管理が図られるよう、委託先を通じて必要かつ適切な監督を行う責任を負う
- B. 再委託が行われた時点で委託元の監督責任は完全に消滅する
- C. 再委託には個人情報保護法上いかなる規制も存在しない
- D. 再委託先の監督責任は委託先にのみ帰属し委託元には一切関係がない
正解: A. 委託元は、再委託先も含めて個人データの安全管理が図られるよう、委託先を通じて必要かつ適切な監督を行う責任を負う／委託先がさらに再委託を行う場合であっても、委託元は再委託先を含めて個人データの安全管理が図られるよう、委託先に対する監督を通じて必要かつ適切な監督を行う責任を負うとされており、再委託の実施にあたって委託元の事前の同意を要件とする等の契約上の対応が一般的に推奨される。
問8. クラウドサービス事業者に個人データを保存する場合の第三者提供該当性についての一般的な考え方として最も適切なものはどれか。
- A. クラウド事業者が個人データを取り扱わない契約内容（適切なアクセス制御がなされている等）である場合には、個人データの提供に該当しないと整理される場合がある
- B. クラウドサービスに個人データを保存する行為は常に第三者提供に該当し必ず本人の同意が必要である
- C. クラウドサービスの利用には個人情報保護法上の考慮は一切不要である
- D. クラウド事業者は常に個人情報取扱事業者としての委託先の義務を一切負わない
正解: A. クラウド事業者が個人データを取り扱わない契約内容（適切なアクセス制御がなされている等）である場合には、個人データの提供に該当しないと整理される場合がある／個人情報保護委員会のガイドラインでは、クラウドサービス事業者が個人データを取り扱わないこととなっている（適切にアクセス制御を行っている等の一定の条件を満たす）場合には、当該事業者への個人データの提供は「第三者提供」や「委託」には該当しないと整理されうる一方、当該条件を満たさない場合は委託に該当し、委託先の監督義務等が生じる。
問9. EUの「GDPR（一般データ保護規則）」と日本の個人情報保護法の関係についての説明として最も適切なものはどれか。
- A. GDPRはEU域内の個人データ保護を規定する規則であり、EU域内に拠点を持つ、またはEU域内の個人に商品・サービスを提供する等一定の要件を満たす日本企業にも域外適用される場合がある
- B. GDPRは日本企業には一切適用されない
- C. GDPRと個人情報保護法は完全に同一の内容を持つ規則である
- D. GDPRはEU加盟国の政府機関にのみ適用され民間企業には一切適用されない
正解: A. GDPRはEU域内の個人データ保護を規定する規則であり、EU域内に拠点を持つ、またはEU域内の個人に商品・サービスを提供する等一定の要件を満たす日本企業にも域外適用される場合がある／ GDPR（General Data Protection Regulation：一般データ保護規則）は、EU域内の個人データ保護に関する包括的な規則であり、EU域内に拠点を持つ企業だけでなく、EU域内に拠点がなくてもEU域内の個人に商品・サービスを提供する場合や、EU域内の個人の行動を監視する場合等、一定の要件を満たす場合には日本企業にも域外適用される可能性があり、日本の個人情報保護法とは別に対応が必要となる場合がある。
問10. 日本とEUの間の「十分性認定」の意義として最も適切なものはどれか。
- A. 日本の個人情報保護法制がGDPRと同等の水準にあるとEUから認められたことにより、EUから日本への個人データの移転が、個別の追加的な契約等なしに可能となる枠組み
- B. 十分性認定を受けると、日本企業はGDPRの規制対象から完全に除外される
- C. 十分性認定は一度取得すれば恒久的に有効であり見直しは一切行われない
- D. 十分性認定は日本と米国の間でのみ存在する制度である
正解: A. 日本の個人情報保護法制がGDPRと同等の水準にあるとEUから認められたことにより、EUから日本への個人データの移転が、個別の追加的な契約等なしに可能となる枠組み／十分性認定は、EUが域外の国・地域の個人データ保護の水準がGDPRと同等であると認める制度であり、日本はこの認定を受けているため、EUから日本への個人データの移転（越境移転）が、標準契約条項の締結等の個別の追加的な移転手段を講じることなく可能となっている。
問11. 既存顧客に対して新商品のダイレクトメールを送付する行為の個人情報保護法上の一般的な考え方として最も適切なものはどれか。
- A. 当初取得時に特定した利用目的（商品案内の送付等）の範囲内であれば、追加の同意なく送付できる場合が多いが、利用目的として特定していなかった場合は目的外利用となりうる
- B. ダイレクトメールの送付には常に個別の同意が新たに必要であり、当初の利用目的は一切考慮されない
- C. ダイレクトメールの送付は個人情報保護法の適用対象外である
- D. ダイレクトメールの送付には個人情報保護委員会への事前届出が常に必要である
正解: A. 当初取得時に特定した利用目的（商品案内の送付等）の範囲内であれば、追加の同意なく送付できる場合が多いが、利用目的として特定していなかった場合は目的外利用となりうる／既存顧客へのダイレクトメール送付は、当初の個人情報取得時に特定・通知（公表）していた利用目的（「当社商品・サービスに関する案内の送付」等）の範囲内であれば、改めて本人の同意を得ることなく行うことができる場合が多いが、当初想定していなかった目的での利用となる場合には、目的外利用として本人の同意が必要となりうる。
問12. 従業員が会社のSNS公式アカウントで、許可なく顧客の写真や氏名を投稿した場合の一般的な問題点として最も適切なものはどれか。
- A. 本人の同意なく第三者（不特定多数）が閲覧可能な形で個人データを提供したことになり、第三者提供の制限違反となりうる
- B. SNSへの投稿は個人情報保護法上いかなる場合も問題とならない
- C. SNSは私的な利用であるため会社は一切の責任を負わない
- D. SNSへの投稿には個人情報保護法が一切適用されない
正解: A. 本人の同意なく第三者（不特定多数）が閲覧可能な形で個人データを提供したことになり、第三者提供の制限違反となりうる／従業員が会社の公式SNSアカウントで本人の同意なく顧客の写真・氏名等を投稿する行為は、不特定多数が閲覧可能な状態で個人データを提供したことになりうるため、第三者提供の制限違反となる可能性が高く、会社としての安全管理措置（従業者の監督）の不備も問われうる。
問13. 個人情報保護法における「従業者の監督」義務の説明として最も適切なものはどれか。
- A. 個人情報取扱事業者は、その従業者に個人データを取り扱わせるにあたって、当該個人データの安全管理が図られるよう、必要かつ適切な監督を行わなければならない
- B. 従業者の監督義務は正社員にのみ課され、パート・派遣労働者等には一切課されない
- C. 従業者の監督義務は法律上の義務ではなく完全に任意である
- D. 従業者の監督義務を果たせば、安全管理措置は一切不要となる
正解: A. 個人情報取扱事業者は、その従業者に個人データを取り扱わせるにあたって、当該個人データの安全管理が図られるよう、必要かつ適切な監督を行わなければならない／個人情報保護法は、個人情報取扱事業者に対し、その従業者（正社員に限らず、パート・アルバイト・派遣労働者・取締役等も含む）に個人データを取り扱わせるにあたって、当該個人データの安全管理が図られるよう、必要かつ適切な監督を行う義務を課しており、教育・研修の実施等が具体的な対応として求められる。
問14. 外国にある第三者へ個人データを提供する際、本人同意取得にあたって提供すべき情報として最も適切なものはどれか。
- A. 提供先の外国における個人情報保護制度、提供先が講じる個人情報保護のための措置等に関する情報
- B. 提供先企業の売上高や財務状況のみの情報
- C. 提供先企業の代表者の個人的な経歴のみの情報
- D. 情報提供は一切不要であり、単に同意の可否のみを確認すればよい
正解: A. 提供先の外国における個人情報保護制度、提供先が講じる個人情報保護のための措置等に関する情報／外国にある第三者への提供にあたり本人の同意を得る場合、個人情報保護委員会規則に基づき、提供先の外国における個人情報保護制度の有無・内容や、提供先が講じている個人情報の保護のための措置に関する情報を、あらかじめ本人に提供することが求められる。
問15. 従業員が退職した後の、当該従業員の個人情報（人事情報等）の取扱いとして最も適切なものはどれか。
- A. 退職後も個人情報保護法上の個人情報に該当し続けるため、利用目的の範囲内での取扱いや安全管理措置の対象となる（法定保存期間経過後は適切に消去するよう努める）
- B. 退職した時点で当該従業員の情報は個人情報保護法の対象外となる
- C. 退職者の情報は要配慮個人情報として自動的に扱われる
- D. 退職者の情報については利用目的の特定義務が一切適用されない
正解: A. 退職後も個人情報保護法上の個人情報に該当し続けるため、利用目的の範囲内での取扱いや安全管理措置の対象となる（法定保存期間経過後は適切に消去するよう努める）／退職者の個人情報も、退職後において特定の個人を識別できる限り個人情報保護法上の個人情報に該当し続けるため、事業者は引き続き利用目的の範囲内での取扱いや安全管理措置の対象とする必要があり、法定保存期間（源泉徴収簿等）を経過した情報については、利用する必要がなくなった際に遅滞なく消去するよう努める義務がある。
問16. 企業が保有する「株主名簿」の個人情報保護法上の位置づけとして最も適切なものはどれか。
- A. 株主（個人）に関する氏名・住所・保有株式数等の情報を含み、体系的に構成されている場合は個人情報データベース等に該当し、個人情報保護法の適用対象となる
- B. 株主名簿は会社法上の書類であるため個人情報保護法は一切適用されない
- C. 株主名簿には要配慮個人情報のみが含まれる
- D. 株主名簿は個人情報保護法上、常に開示請求の対象外とされる
正解: A. 株主（個人）に関する氏名・住所・保有株式数等の情報を含み、体系的に構成されている場合は個人情報データベース等に該当し、個人情報保護法の適用対象となる／株主名簿は、株主（個人）に関する氏名・住所・保有株式数等の情報を含み、体系的に構成された情報の集合物であるため、個人情報データベース等に該当し、会社法上の位置づけとは別に、個人情報保護法の適用対象ともなる。
問17. M&A（企業買収）の交渉過程で買収対象企業の顧客情報を買収側企業に提供する場合の一般的な考え方として最も適切なものはどれか。
- A. 事業承継に伴う提供として第三者提供の制限の対象外となりうるが、M&A交渉段階では守秘義務契約の締結等、慎重な取扱いが求められる
- B. M&A交渉であれば個人情報保護法上いかなる制約もなく自由に情報を提供できる
- C. M&Aにおける情報提供には常に個人情報保護委員会の事前許可が必要である
- D. M&Aの交渉段階での情報提供は個人情報保護法上一律に禁止されている
正解: A. 事業承継に伴う提供として第三者提供の制限の対象外となりうるが、M&A交渉段階では守秘義務契約の締結等、慎重な取扱いが求められる／個人情報保護法上、合併・会社分割・事業譲渡等の事業承継に伴って個人データが提供される場合は「第三者」に該当しないとされ、第三者提供の制限の対象外となりうるが、M&Aの交渉段階（デューデリジェンス等）で顧客情報を開示する場合には、守秘義務契約の締結や必要最小限の範囲での開示等、慎重な取扱いが求められる。
問18. スマートフォンアプリが取得する「位置情報」の個人情報保護法上の取扱いとして最も適切なものはどれか。
- A. 他の情報と組み合わせることで特定の個人の行動パターンを識別できる場合等には、個人情報またはプライバシー保護の観点から配慮が必要な情報として取り扱われることがある
- B. 位置情報は個人情報保護法上いかなる場合も個人情報には該当しない
- C. 位置情報は常に要配慮個人情報として扱われる
- D. 位置情報の取得には個人情報保護法上の考慮が一切不要である
正解: A. 他の情報と組み合わせることで特定の個人の行動パターンを識別できる場合等には、個人情報またはプライバシー保護の観点から配慮が必要な情報として取り扱われることがある／位置情報は、それ単体では特定の個人を識別できない場合もあるが、他の情報（利用者IDやアカウント情報等）と組み合わせることで特定の個人の行動パターンを識別できる場合等には、個人情報に該当しうる、あるいは個人関連情報としてプライバシー保護の観点からの配慮が求められる情報として取り扱われることがある。
問19. 個人情報保護委員会が策定する「個人情報の保護に関する法律についてのガイドライン（通則編）」の役割として最も適切なものはどれか。
- A. 個人情報保護法の各条文の解釈や事業者が講ずべき具体的な措置等について、実務上の指針を示すもの
- B. ガイドラインは法律ではないため、事業者は一切参照する必要がない
- C. ガイドラインは個人情報保護法の条文よりも上位の効力を持つ
- D. ガイドラインは行政機関のみを対象とし民間事業者には一切関係がない
正解: A. 個人情報保護法の各条文の解釈や事業者が講ずべき具体的な措置等について、実務上の指針を示すもの／個人情報保護委員会が策定する各種ガイドライン（通則編、外国にある第三者への提供編、第三者提供時の確認・記録義務編、仮名加工情報・匿名加工情報編等）は、個人情報保護法の各条文の解釈や、事業者が具体的にどのような措置を講ずるべきかについての実務上の指針を示すものであり、法律そのものではないが、実務対応において非常に重要な参照資料となる。
問20. 購買履歴等から病気の可能性を推知した情報を分析・利用する場合の留意点として最も適切なものはどれか。
- A. 推知した結果自体が要配慮個人情報に相当する情報として取り扱われる可能性があり、要配慮個人情報に準じた慎重な取扱いが求められる場合がある
- B. 推知情報は元の要配慮個人情報とは無関係であるため一切の配慮が不要である
- C. 推知情報の利用には個人情報保護法上いかなる制約もない
- D. 推知情報は必ず匿名加工情報として扱われる
正解: A. 推知した結果自体が要配慮個人情報に相当する情報として取り扱われる可能性があり、要配慮個人情報に準じた慎重な取扱いが求められる場合がある／購買履歴等の分析から病歴等の要配慮個人情報に該当する事項を推知した情報を、あえてそのような目的で取得・分析する場合等には、その取得行為自体が要配慮個人情報の取得に準じるものとして、本人の同意取得等の慎重な対応が求められる場合があるとされている。
問21. 本人から保有個人データの開示請求を受けた事業者が、開示することにより「業務の適正な実施に著しい支障を及ぼすおそれ」がある場合の対応として最も適切なものはどれか。
- A. 開示の全部または一部を拒否することができ、その場合は本人にその旨を遅滞なく通知しなければならない
- B. いかなる理由があっても開示を拒否することは一切認められない
- C. 拒否する場合、本人への通知は一切不要である
- D. 業務への支障は開示拒否の理由として個人情報保護法上認められていない
正解: A. 開示の全部または一部を拒否することができ、その場合は本人にその旨を遅滞なく通知しなければならない／個人情報保護法は、開示請求により、本人・第三者の生命・身体・財産その他の権利利益を害するおそれがある場合、事業の適正な実施に著しい支障を及ぼすおそれがある場合、他の法令に違反することとなる場合等には、事業者が開示の全部または一部を拒否できると定めており、拒否する場合は本人にその旨を遅滞なく通知しなければならないとされている。
問22. 保有個人データの開示請求に対応する際、事業者が徴収できる「手数料」についての説明として最も適切なものはどれか。
- A. 事業者は、開示等の請求に応じる場合、実費を勘案して合理的であると認められる範囲内において手数料を徴収することができる
- B. 開示請求には手数料を一切徴収してはならない
- C. 手数料は開示請求以外の全ての請求（訂正・利用停止等）にも一律に高額な設定が認められる
- D. 手数料の金額に上限の考え方は一切存在しない
正解: A. 事業者は、開示等の請求に応じる場合、実費を勘案して合理的であると認められる範囲内において手数料を徴収することができる／個人情報保護法は、事業者が保有個人データの利用目的の通知や開示の請求に応じる場合、実費を勘案して合理的であると認められる範囲内において、手数料を徴収することができると定めている（訂正・利用停止等の請求については手数料に関する明文規定はない）。
問23. 保有個人データの開示請求等を「代理人」を通じて行うことについての説明として最も適切なものはどれか。
- A. 未成年者や成年被後見人の法定代理人、または本人が委任した任意代理人による請求が認められている
- B. 代理人による請求は個人情報保護法上一切認められていない
- C. 代理人による請求は法定代理人にのみ認められ任意代理人には一切認められない
- D. 代理人による請求には本人確認の手続きは一切不要である
正解: A. 未成年者や成年被後見人の法定代理人、または本人が委任した任意代理人による請求が認められている／個人情報保護法は、保有個人データの開示等の請求について、未成年者や成年被後見人のための法定代理人、または本人が委任した任意代理人による請求を認めており、事業者は代理権の確認等、適切な本人確認・代理人確認の手続きを行ったうえで対応する必要がある。
問24. 保有個人データの開示方法についての現行制度の説明として最も適切なものはどれか。
- A. 本人は、書面の交付による方法のほか、電磁的記録の提供による方法等、開示の方法を指示することができる（事業者において多額の費用を要する場合等は書面交付によることができる）
- B. 開示方法は事業者が一方的に決定でき、本人は方法を指示する権利を一切持たない
- C. 開示は必ず書面（紙）のみで行わなければならない
- D. 電磁的記録による開示は個人情報保護法上一切認められていない
正解: A. 本人は、書面の交付による方法のほか、電磁的記録の提供による方法等、開示の方法を指示することができる（事業者において多額の費用を要する場合等は書面交付によることができる）／個人情報保護法は、本人が、書面の交付による方法のほか、電磁的記録の提供による方法その他の個人情報取扱事業者が定める方法により、開示の方法を指示することができると定めており、指示された方法による開示に多額の費用を要する場合等には、書面の交付による方法で開示することも認められている。
問25. 本人が事業者に対し「第三者提供記録の開示」を請求できる制度についての説明として最も適切なものはどれか。
- A. 本人は、自己の個人データについて、事業者が作成した第三者提供に係る記録（提供者側・受領者側双方の記録）の開示を請求することができる
- B. 第三者提供記録の開示請求という制度は個人情報保護法には存在しない
- C. 第三者提供記録は本人には一切開示されない秘密情報として扱われる
- D. 第三者提供記録の開示請求は保有個人データの開示請求とは全く別の独立した権利ではなく完全に無関係である
正解: A. 本人は、自己の個人データについて、事業者が作成した第三者提供に係る記録（提供者側・受領者側双方の記録）の開示を請求することができる／個人情報保護法は、本人が保有個人データの開示請求権の一環として、自己の個人データに関して事業者が作成した第三者提供に係る記録（提供者として作成した記録、受領者として作成した記録の双方）の開示を請求することができると定めている。
問26. 転職エージェント（人材紹介会社）が求職者の個人情報を求人企業に提供する場合に必要となる一般的な対応として最も適切なものはどれか。
- A. 第三者提供に該当するため、原則として求職者本人の同意を得る必要がある
- B. 人材紹介会社が行う提供には個人情報保護法上いかなる同意も不要である
- C. 求人企業への提供は常に委託に該当し第三者提供の制限は適用されない
- D. 求職者の同意は書面での取得が法律上一律に義務付けられている
正解: A. 第三者提供に該当するため、原則として求職者本人の同意を得る必要がある／転職エージェント（人材紹介会社）が求職者の個人情報を求人企業に提供する行為は、独立した別法人への提供であり、委託や共同利用等の除外事由に該当しない限り第三者提供に該当するため、原則として求職者本人の同意を得る必要がある。
問27. 個人情報保護法における「不適正な利用の禁止」の説明として最も適切なものはどれか。
- A. 個人情報取扱事業者は、違法または不当な行為を助長し、または誘発するおそれがある方法により個人情報を利用してはならない
- B. 不適正な利用の禁止規定は個人情報保護法には存在しない
- C. 不適正な利用の禁止は要配慮個人情報にのみ適用される
- D. 不適正な利用に該当するかどうかは、いかなる場合も事業者の完全な自由裁量に委ねられている
正解: A. 個人情報取扱事業者は、違法または不当な行為を助長し、または誘発するおそれがある方法により個人情報を利用してはならない／個人情報保護法は、個人情報取扱事業者に対し、違法または不当な行為を助長し、または誘発するおそれがある方法により個人情報を利用してはならないという「不適正な利用の禁止」を定めており、例えば違法な差別を助長するような形での個人情報の分析・提供等がこれに該当しうる。
問28. 官報等で公開されている破産者情報を集約し、地図アプリ上に表示するウェブサービスについての一般的な問題点として最も適切なものはどれか。
- A. 官報で公開された情報であっても、それを不必要に集約・可視化することで本人に不利益を与えるような態様での利用は、不適正な利用に該当するおそれがあるとして問題視された事例がある
- B. 官報で公開された情報は個人情報保護法の対象外となるため、いかなる利用も自由である
- C. 地図アプリ上への表示は個人情報保護法上一切問題とならない
- D. 破産者情報は個人情報に該当しないため規制の対象外である
正解: A. 官報で公開された情報であっても、それを不必要に集約・可視化することで本人に不利益を与えるような態様での利用は、不適正な利用に該当するおそれがあるとして問題視された事例がある／官報等の公開情報であっても、それを不必要に集約・データベース化し、地図上で可視化する等、本人に対する差別的な取扱いや不利益を助長するおそれのある態様での利用は、個人情報保護法における「不適正な利用の禁止」に抵触する可能性があるとして、実際に個人情報保護委員会から行政指導等が行われた事例がある。
問29. かつて存在した「5,000件以下の個人情報のみを扱う事業者は適用除外」という規定の現行法における扱いとして最も適切なものはどれか。
- A. 平成27年改正により当該小規模事業者の適用除外規定は廃止され、現在は取扱う個人情報の量に関わらず原則として全ての事業者が個人情報取扱事業者となりうる
- B. 5,000件以下の適用除外規定は現在も維持されている
- C. 小規模事業者は現在も個人情報保護法の適用が完全に免除されている
- D. 5,000件という基準は現在1万件に引き上げられて存続している
正解: A. 平成27年改正により当該小規模事業者の適用除外規定は廃止され、現在は取扱う個人情報の量に関わらず原則として全ての事業者が個人情報取扱事業者となりうる／かつての個人情報保護法には、取り扱う個人情報の数が5,000件以下の事業者を適用除外とする規定が存在したが、平成27年（2015年）改正によりこの規定は廃止され、現在は取り扱う個人情報の量の多寡に関わらず、原則として個人情報を事業に利用する全ての事業者が個人情報取扱事業者に該当しうる。
問30. 個人情報保護法における「3年ごとの見直し」規定の趣旨として最も適切なものはどれか。
- A. 情報通信技術の進展等の社会情勢の変化に対応するため、法の施行状況等を踏まえて、おおむね3年ごとに規定の見直しを検討する仕組み
- B. 3年ごとの見直しは行われた実績が一切なく形骸化した規定である
- C. 3年ごとの見直しは条文を一切変更しないことを保証する規定である
- D. 3年ごとの見直しは個人情報保護委員会の廃止を検討するための規定である
正解: A. 情報通信技術の進展等の社会情勢の変化に対応するため、法の施行状況等を踏まえて、おおむね3年ごとに規定の見直しを検討する仕組み／個人情報保護法には、情報通信技術の進展、それに伴う個人情報の利用方法の変化その他の事情を踏まえ、法の施行状況等を勘案して、おおむね3年ごとに規定の見直しを検討する旨の規定（いわゆる3年ごと見直し）が置かれており、実際に平成27年改正、令和2年改正、令和3年改正等、継続的な見直しが行われてきている。
問31. 個人情報保護法の実効性強化に関する議論において、しばしば検討される「課徴金制度」の考え方として最も適切なものはどれか。
- A. 法違反による経済的利得を剥奪する等の目的で、違反事業者に対して金銭的な負担（課徴金）を課す制度の導入が検討課題として議論されている
- B. 課徴金制度は既に個人情報保護法に完全な形で導入され運用されている
- C. 課徴金制度は個人情報保護法の議論とは一切無関係な制度である
- D. 課徴金制度は罰則（刑事罰）と全く同じ性質の制度である
正解: A. 法違反による経済的利得を剥奪する等の目的で、違反事業者に対して金銭的な負担（課徴金）を課す制度の導入が検討課題として議論されている／個人情報保護法の実効性をさらに強化する観点から、法違反による経済的利得の剥奪や、より抑止力のあるサンクションを課す目的で、独占禁止法等における課徴金制度のような、行政上の金銭的負担を課す制度の導入が、法改正に向けた議論の中でしばしば検討課題として取り上げられている。
問32. 企業が顧客満足度アンケートを実施し、回答者の氏名・連絡先を含めて収集する場合の留意点として最も適切なものはどれか。
- A. アンケートの利用目的（サービス改善のための分析、または個別のフォローアップ連絡等）をあらかじめ明示し、その範囲内で利用する必要がある
- B. アンケートで取得した情報には個人情報保護法上いかなる配慮も不要である
- C. アンケート調査で取得した情報は自動的に匿名加工情報として扱われる
- D. アンケートは必ず匿名で実施しなければならず氏名等の取得は一切禁止されている
正解: A. アンケートの利用目的（サービス改善のための分析、または個別のフォローアップ連絡等）をあらかじめ明示し、その範囲内で利用する必要がある／顧客満足度アンケートで氏名・連絡先を含めて回答を収集する場合、それらは個人情報に該当するため、アンケートの利用目的（サービス改善のための統計的分析、または個別の問い合わせ対応・フォローアップ連絡等）をあらかじめ明示し、その範囲内で利用する必要がある。
問33. オフィスの入退室管理に顔認証システムを導入する場合の個人情報保護法上の留意点として最も適切なものはどれか。
- A. 顔認証データは個人識別符号に該当しうるため、取得にあたっての利用目的の明示や、安全管理措置（アクセス制限、データの暗号化等）に特に配慮する必要がある
- B. 顔認証データは個人情報保護法上いかなる規制も受けない
- C. 顔認証システムの導入には従業員の同意は一切不要である
- D. 顔認証データは要配慮個人情報には該当しないため一切の配慮が不要である
正解: A. 顔認証データは個人識別符号に該当しうるため、取得にあたっての利用目的の明示や、安全管理措置（アクセス制限、データの暗号化等）に特に配慮する必要がある／顔認証データは、それ単体で特定の個人を識別できる情報として個人識別符号に該当しうるため、これを含む情報は個人情報として扱われる。入退室管理への導入にあたっては、利用目的の明示や、生体情報という機微性の高いデータであることを踏まえた安全管理措置（アクセス制限、暗号化等）に特に配慮する必要がある。
問34. 企業が従業員の健康診断結果を分析し、健康経営施策の企画に活用する場合の留意点として最も適切なものはどれか。
- A. 健康診断結果は要配慮個人情報に該当するため、取得・利用にあたって原則として本人の同意等の適切な手続きが必要となる
- B. 健康診断結果は要配慮個人情報には該当せず通常の個人情報と全く同様に扱ってよい
- C. 健康経営施策への活用であれば個人情報保護法上いかなる手続きも不要である
- D. 健康診断結果の分析には本人の同意を一切得る必要がない
正解: A. 健康診断結果は要配慮個人情報に該当するため、取得・利用にあたって原則として本人の同意等の適切な手続きが必要となる／健康診断結果は病歴等に準じる要配慮個人情報に該当しうるため、企業がこれを取得し、健康経営施策の企画立案等の目的で分析・利用する場合には、原則として本人の同意を得る等、要配慮個人情報としての適切な取扱いが求められる（労働安全衛生法に基づく取得等、一定の法令に基づく場合は本人同意が不要となる場合もある）。
問35. 認定個人情報保護団体が作成する「個人情報保護指針」の役割として最も適切なものはどれか。
- A. 対象となる業界の実情に応じた、個人情報の適正な取扱いに関するより具体的な指針を示し、対象事業者に遵守させることで自主的なルール整備を促進する
- B. 個人情報保護指針は法的拘束力を持つ法律そのものである
- C. 個人情報保護指針は個人情報保護委員会のガイドラインと完全に同一の内容でなければならない
- D. 個人情報保護指針は対象事業者の遵守を一切求めない任意の参考資料にすぎない
正解: A. 対象となる業界の実情に応じた、個人情報の適正な取扱いに関するより具体的な指針を示し、対象事業者に遵守させることで自主的なルール整備を促進する／認定個人情報保護団体が作成する個人情報保護指針は、対象となる業界の実情に応じた、個人情報の適正な取扱いに関するより具体的な指針を示すものであり、対象事業者はこの指針を遵守する努力義務を負う。業界の自主的なルール整備を通じて、個人情報保護の実効性を高める役割を担っている。
問36. 企業のカスタマーサポートで利用するAIチャットボットの応対ログに含まれる個人情報の取扱いとして最も適切なものはどれか。
- A. 応対ログに氏名や問い合わせ内容等、個人を識別できる情報が含まれる場合は個人情報に該当し、AIの学習データとして再利用する場合には利用目的の範囲内かどうかの確認が必要となる
- B. AIチャットボットのログには個人情報保護法が一切適用されない
- C. AIの学習データとしての再利用には常に個人情報保護法上の配慮が一切不要である
- D. チャットボットの応対ログは自動的に匿名加工情報として扱われる
正解: A. 応対ログに氏名や問い合わせ内容等、個人を識別できる情報が含まれる場合は個人情報に該当し、AIの学習データとして再利用する場合には利用目的の範囲内かどうかの確認が必要となる／ AIチャットボットの応対ログに氏名や具体的な問い合わせ内容等、個人を識別できる情報が含まれる場合は個人情報に該当し、これをAIモデルの学習データとして再利用する場合には、当初特定していた利用目的の範囲内であるかどうかを確認し、範囲外であれば本人の同意取得や匿名加工処理等の対応を検討する必要がある。
問37. 退職した元従業員から、在職中の人事評価情報について保有個人データの開示請求があった場合の一般的な対応として最も適切なものはどれか。
- A. 原則として開示請求の対象となるが、開示することにより第三者（評価者等）の権利利益を害するおそれがある部分等については、開示の一部を拒否できる場合がある
- B. 退職者からの開示請求は一切受け付ける必要がない
- C. 人事評価情報は個人情報保護法上、開示請求の対象に一律に含まれない
- D. 開示請求を受けた場合、理由の如何を問わず必ず全ての情報を開示しなければならない
正解: A. 原則として開示請求の対象となるが、開示することにより第三者（評価者等）の権利利益を害するおそれがある部分等については、開示の一部を拒否できる場合がある／退職した元従業員からの人事評価情報等の保有個人データの開示請求も、原則として個人情報保護法上の開示請求の対象となるが、開示することにより評価者等の第三者の権利利益を害するおそれがある部分や、事業の適正な実施に著しい支障を及ぼすおそれがある部分については、開示の全部または一部を拒否できる場合がある。
問38. 個人の趣味・嗜好・信用力等を分析する「プロファイリング」を行う際の一般的な留意点として最も適切なものはどれか。
- A. 分析結果に基づく取扱いが本人に予期しない不利益をもたらす可能性があるため、利用目的の特定や透明性の確保、不適正な利用とならないよう慎重な配慮が求められる
- B. プロファイリングには個人情報保護法上いかなる配慮も一切不要である
- C. プロファイリングを行う場合、常に本人の事前の個別同意が法律上明文で義務付けられている
- D. プロファイリングは要配慮個人情報のみを対象とした概念である
正解: A. 分析結果に基づく取扱いが本人に予期しない不利益をもたらす可能性があるため、利用目的の特定や透明性の確保、不適正な利用とならないよう慎重な配慮が求められる／個人の趣味・嗜好・信用力等を分析する「プロファイリング」は、その分析結果に基づく取扱い（与信審査、広告のターゲティング等）が本人に予期しない不利益をもたらす可能性があるため、利用目的の特定・公表による透明性の確保や、差別的な取扱いにつながらないよう不適正な利用の禁止規定を踏まえた慎重な配慮が求められる。
問39. 個人情報保護法を踏まえて企業が設置する「個人情報に関する問い合わせ窓口」の一般的な役割として最も適切なものはどれか。
- A. 本人からの開示等の請求受付、苦情の受付、利用目的等に関する問い合わせへの対応を行う窓口
- B. 問い合わせ窓口は個人情報保護法上、設置が完全に禁止されている
- C. 問い合わせ窓口は営業活動のための勧誘専用の窓口である
- D. 問い合わせ窓口の設置には個人情報保護法上何の意味もない
正解: A. 本人からの開示等の請求受付、苦情の受付、利用目的等に関する問い合わせへの対応を行う窓口／企業が設置する個人情報に関する問い合わせ窓口は、本人からの保有個人データの開示・訂正・利用停止等の請求受付、個人情報の取扱いに関する苦情の受付、利用目的等に関する問い合わせへの対応等を行う窓口であり、個人情報保護法が求める苦情処理体制の整備や、プライバシーポリシーでの公表事項としても位置づけられる。
問40. 個人情報保護士認定検定の「個人情報保護法の応用・事例」分野で求められる能力として最も適切なものはどれか。
- A. 名刺交換・防犯カメラ・M&A・クラウド利用・SNS投稿等、実務上頻繁に生じる具体的な場面において、個人情報保護法の規定を適切に当てはめて判断できる応用的な実務能力
- B. 個人情報保護法の条文を一字一句暗記するだけで、実際の事例には応用できなくてもよいという能力
- C. 個人情報保護法は理論上の知識のみで十分であり実務での応用は一切不要であるという考え方
- D. 個人情報保護法の応用問題には唯一絶対の正解が存在せず学習する意味がないという考え方
正解: A. 名刺交換・防犯カメラ・M&A・クラウド利用・SNS投稿等、実務上頻繁に生じる具体的な場面において、個人情報保護法の規定を適切に当てはめて判断できる応用的な実務能力／個人情報保護士認定検定の「個人情報保護法の応用・事例」分野で求められるのは、名刺交換・防犯カメラ映像・採用選考・グループ会社間の共有・委託と再委託・クラウドサービスの利用・SNSへの投稿・M&A・GDPR等の国際的な視点等、実務上頻繁に生じる具体的な場面において、個人情報保護法の基本的な規定を正確に理解した上で適切に当てはめて判断できる応用的な実務能力である。

個人情報保護士認定検定 個人情報保護法の応用・事例

個人情報保護士認定検定個人情報保護法の応用・事例