個人情報保護士認定試験 ②
＃1 個人情報保護法
◆個人情報の制定及び改定
①1980年 経済協力開発機構（OECD）「理事会勧告」
②個人情報保護法 2003年公布 2005年全面施行
③EU一般データ保護規則（GDPR） 2016/05施行 2018/05適用
④個人情報保護法は3年ごとに検討を行い、必要に応じて改正
⑤３年ごと見直し規定に基づく改正→（ＡＩ・ビッグデータ時代への対応）
改正内容：仮名加工情報の創設、個人関連情報の第三者提供制限等
⑥デジタル社会形成整備法に基づく改正→（官民一元化）
改正内容：医療分野・学術研究の規制統一/適用除外規定の見直し
【ポイント】
・個人情報の制定及び改定が行われてきた背景の理解
・⑤⑥改正理由と改正内容の関係が互い違いにならないように。
※個人情報保護法の基本（PDF資料）P4.5あたりは抑えたい。
・①②③の基本項目、年代や更新年の間違い
・〇〇に基づく改正と改正内容＝関係性のテレコ
◆ プライバシーマーク制度
①個人情報の保護体制に対する第三者認証制度
基準：JIS Q 15001 2023 (個人情報保護マネジメントシステム要求事項)
②プライバシーマークにおける
個人情報保護マネジメントシステム構築・運用指針（略：構築運用指針）
③有効期間は2年間 更新 : 2年毎
④保護対象は、個人情報 (情報資産は含まない)
⑤付与は、 法人単位 (例外: 医療法人等、および学校法人等)
⑥JISQ15001-2023 (個人情報保護マネジメントシステム要求事項) 23/09改正
※個人情報管理台帳の特定対象は「個人情報」限定だったが、匿名加工情報、 仮名加工情報、個人関連情報も対象になった。
【ポイント】
・個人情報保護マネジメントシステム（PMS）の立ち位置
・構築運用指針の立ち位置
・制度の有効期間や保護対象、単位
・③④⑤＋システム・指針の立ち位置
・⑥は保険的存在程度で。
◆ 個人情報保護法の目的（１条）
①デジタル社会の進展
②個人情報保護委員会を設置
③新たな産業の創出並びに活力ある経済社会
④個人の権利利益を保護
【ポイント】
・法第1条の文言
・文言を4つ程度に区切り理解すると良い。
・①②③④が頻出文。（文内の文字が違う用語にすり替え）
◆個人情報の定義（2条）
①生存する個人に関する情報
②氏名も該当※同姓同名は関係ない
(社会通念上、特定の個人を識別可能と考えられる)
③暗号化、 秘匿化は問わない
④音声や映像も特定できれば該当する。
⑤「個人」は外国人も含まれる。
⑥公開の度合いは関係ない（官報、新聞、ホームページ、SNS、電話帳等）
⑦法人その他の団体そのものは「個人」に該当しない。
※所属する役員、従業員等に関する情報は個人情報に該当する。
【ポイント】
・「個人情報」とは→定義
「社会通念上、特定の個人を識別（文字・映像・音声含む）できるもの」
※これを軸にすれば、ほとんど応用はきくと思われる。
・ガイドライン【個人情報に該当する事例】の７項目
・②③⑥⑦が頻出文（含まれないものが含まれたり、その逆も）
◆個人情報の定義 応用（2条）
①機械学習の学習用データセットは個人情報に該当しない
（例外：他の情報と容易に照合）
②移動軌跡データ（人流データ）は個人情報に該当しない
（例外：他の情報と容易に照合）
③「ニックネーム」及び「ID」は個人情報に該当しない。
（例外あり：単独で特定できる場合、該当し得える）
④メールアドレスは、ユーザー名及びドメイン名から特定の個人を識別することができる場合には、それ自体単独で個人情報に該当する。
【ポイント】
・「個人情報」とは→具体的FAQ問題
・③④の該当するケース（例外）としないケースの理解
・文末に注意：”該当することはない”＝例外さえない。
◆FAQ オンラインゲームで「ニックネーム」及び「ID」を公開
◆FAQ メールアドレスだけでも個人情報に
◆FAQ 機械学習の学習用データセットとして用いて生成
◆FAQ 移動軌跡データ（人流データ）
◆個人識別符号（法第2条第2項関係）
①運転免許証・パスポート・保険証・基礎年金番号、マイナンバー、住民票コード等
②携帯電話番号やクレジットカード番号は単独では非該当
③指紋や静脈、DNAなどの生体情報
④各種被保険者証に記載されている各種保険者番号、被保険者記号、番号は、３つ（被保険者記号が無い場合は２つ）揃うことで特定の個人を識別することができ、個人識別符号に該当
⑤ゲノムデータは個人識別符号に該当。（学術研究目的除く）
⑥対象外：労働保険番号：労働局が各労災保険加入団体に与えている番号（個人ではない）
【ポイント】
・個人識別符号とは→定義
・以下のFAQに記載内容
・保険者番号単体では個人識別符号に該当しないが、他の選択肢に非該当の明確なものがあれば、消去法で該当扱いするケースもある模様。(FAQ)
・個人識別符号の仲間→個人ではなく法人で扱う番号が混ざるので注意
・単独か、単独じゃない（他と照合すれば）があるので文章に注意
◆ガイドライン（通則編） ｜2-2 個人識別符号
◆FAQ 「個人識別符号」とは
◆FAQ 携帯電話番号やクレジットカード番号
◆FAQ 各種被保険者証の記号・番号・保険者番号
◆要配慮個人情報（法第2条第3項関係）
【該当事例】
①健康診断等の結果（受診した事実は非該当）
②病院等を受診したという事実及び薬局等で調剤を受けたという事実
③診療記録や調剤録、薬剤服用歴、お薬手帳に記載された情報等
④無罪判決を受けた事実（刑事手続を受けた事実に該当）
⑤社会的身分（ある個人にその境遇として固着していて、一生の間、自らの力によって容易にそれから脱し得ないような地位）
⑥ゲノム情報＝ゲノムデータ＋アノテーション（注釈等）なり得る
【該当しない事例】
⑦反社会的集団に所属し、関係を有している事実
⑧本人の国籍や肌の色（人種の推知情報）のみ。
⑨特定の政党が発行する新聞や機関誌等を購読しているという情報
⑩犯罪行為を撮影した防犯カメラ映像（犯罪の経歴の推知情報）
⑪特定の宗教に関する本の購買履歴の情報（信条の推知情報）
⑫単なる職業的地位や学歴は社会的身分に相当しない。
【ポイント】
・要配慮個人情報とは→定義
・該当する場合、しない場合のケース
・①②は要注意（健康診断受診と、病院受診の扱われ方の違い）
・⑤⑫（身分の定義）
・⑥は保険（なり得る）
◆仮名加工情報（法第２条第５項）
①仮名加工情報の背景：匿名加工では厳格すぎて有用性に劣っていた。（匿名加工は、原則、作成元の情報と照合が出来なくて活用しにくかった）
②当該個人情報に含まれる記述等の一部を削除
③当該個人情報に含まれる個人識別符号の全部を削除
④変更前の利用目的と関連性を有すると合理的に認められる範囲を超える利用目的の変更が可能
⑤削除には、復元することのできる規則性を持たない方法により、他の記述等に置き換えることを含む
⑥原則として第三者への提供が禁止
⑦個人情報である仮名加工情報と個人情報でない仮名加工情報がある。
※他の情報と容易に照合でき特定の個人を識別できるか、できないか。
⑧規則で定める基準に従って加工する必要あり
（基準外のものは、仮名加工情報に当たらない）
【ポイント】
・仮名加工情報が令和２年改正で加わった背景
・匿名加工情報と仮名加工情報の違い（FAQ参考）
・①の背景と、⑤削除の定義、⑦の定義
・②③に違いがある点。
・④が可能であること。
◆ガイドライン（通則編） ｜2-10 仮名加工情報
◆「仮名加工情報」とは
◆FAQ 匿名加工情報と仮名加工情報の違い
◆FAQ マスキング等によって仮名化した場合
◆匿名加工情報（法第2条第6項関係）
①当該個人情報を復元することができないようにしたもの
②加工途上のものは、個人情報にあたる
③削除の扱い・定義は仮名加工（前述②③⑤）と同じ。
個人識別符号は全部、他は一部（どちらも置き換えも含む）
③要配慮個人情報を含む個人情報の加工は可能。
④利用目的の特定は個人情報が対象であるため、個人情報に該当しない（匿名加工情報は対象外）
⑤再加工することは新たな別の匿名加工情報の作成には当たらない。
⑥匿名加工情報を第三者に提供は、項目及び匿名加工情報の提供の方法を公表（提供先名及び利用目的は不要）
⑦安全管理措置の一環等のため、マスキングは取扱規律に適用されない。
※匿名加工情報作成基準外＝匿名加工情報としては扱われない。
⑧匿名加工情報は一定の措置が講じられば、本人の同意なしに売買可。
【ポイント】
・匿名加工情報と仮名加工情報の違い（FAQ参考）
・削除・加工の定義（仮名と同じ）
・作成基準外の取り扱い
・②③の定義（加工途上の取り扱い含む）
・③が可能なこと
・⑥の公表は不要な要素（FAQ 第三者提供時の公表）
・⑦に注意（作成基準外の加工は、適用されない）
◆ガイドライン（通則編） ｜2-12 匿名加工情報
◆FAQ 「匿名加工情報」とは
◆FAQ 匿名加工情報と仮名加工情報の違い
◆FAQ 要配慮個人情報を加工して匿名加工情報を作成
◆FAQ マスキング等によって匿名化した場合
◆FAQ 匿名加工情報の第三者提供時の公表
◆個人関連情報（法第2条第7項関係）
①仮名加工情報及び匿名加工情報のいずれにも該当しないもの
②ある個人の属性情報（性別・年齢・職業等）
③ある個人のウェブサイトの閲覧履歴 (Cookie)及び個人の位置情報等
※端末を家族で共有している場合も該当。
④ある個人の興味・関心を示す情報
⑤生存する個人に関する情報が該当。
⑥個人関連情報は個人情報ではない（特定の個人を識別できれば個人情報）
⑦統計情報は、「個人関連情報」に該当しない
（対応関係が排斥されているに限り）
⑧メールアドレス（個人情報に該当しない単独で特定できない場合）
※メールアドレスに結び付いた年齢・性別・家族構成等などは該当。
【ポイント】
・個人関連情報の定義
・個人関連情報に該当する事例（5事例）
・個人関連情報に該当するもの、しないものが入れ替わる感じ。
※ガイドラインの５事例&FAQを参照
◆ガイドライン（通則編） ｜2-8 個人関連情報
◆FAQ 「個人関連情報」とは何か。
◆FAQ メールアドレスは個人関連情報に該当しますか
◆FAQ Cookie等の端末識別子
◆個人情報データベース等（法第16条第1項関係）
①公開情報から、新たに特定の個人情報を検索できるように作成したデータベ ースは、個人情報データベース等に該当する。（閲覧だけ→非該当）
②名刺の情報が入力、整理されている場合は、その情報は、該当する。
③メールソフトのアドレス帳や一定の規則で整理された名刺について、従業者本人しか使用できない状態→従業者の私的な使用なら非該当。（事業の用であれば該当）
④アンケートはがきの氏名住所が整理・分類されていない状態は該当しない。
⑤OAソフトなどで作成した議事録に会議出席者の氏名が記載されている
ものは該当しない。
⑥市販の電話帳、住宅地図、職員録、カーナビゲーションシステム等は該当しない。（不特定かつ多数の者に販売を目的として発行されたもの）
【ポイント】
・個人情報データベース等の定義（どういう状態なのか）
・「検索できるように体系的に構成」がポイント
・個人情報データベース等の該当例・非該当例
※ガイドラインの事例を参照（特に非該当例）
・個人情報データベース等に該当するもの、しないものが入れ替え
・FAQからの出題が頻出
◆ガイドライン（通則編） ｜2-4 個人情報データベース等
◆FAQ 「個人情報データベース等」とは何か。
◆FAQ 個人情報データベース等に入力する前の帳票類
◆FAQ 文書作成ソフトで議事録を作成
この記事が気に入ったらサポートをしてみませんか？