重要度：A
問1：A社は、氏名の列を削除した顧客の購買履歴データを分析部門で共用しようとしている。データには顧客番号が残っており、営業部門には顧客番号と氏名の対応表が存在する。分析部門は通常の業務で営業部門へ照会して、この対応表と購買履歴データを照合でき、社内規程上も照合は禁止されていない。このデータの取扱いとして最も適切なものはどれか。
- A：氏名は削除済みであるため、もはや個人情報には当たらないものとして扱う。
- B：対応表と容易に照合できるため、引き続き個人情報として法の義務に従い扱う。
- C：分析部門に対応表がなければ、部門内では個人情報に当たらないとして扱う。
- D：顧客番号を英数字のコードへ置き換えれば、個人情報でなくなるとして扱う。
【第1問：正解と解説】
正解：B
・A
他の情報と容易に照合して個人を識別できるものは個人情報に当たる。
・B
正しい。設問では、分析部門が通常の業務で対応表と購買履歴データを照合できるため、顧客番号から特定の個人を識別でき、個人情報として取り扱う必要がある。
・C
部門が異なるという理由だけで、個人情報への該当性が否定されるわけではない。設問では通常業務で照合できるため容易照合性がある。一方、部門間の照合が規程上・運用上厳格に禁止され、通常の業務では照合できない場合は、容易照合性が否定されることがある。
・D
コードへの置換だけでは対応関係が残り、識別の可能性は解消されない。
重要度：B
問2：B社が従業員の健康診断の結果を健康管理の目的で取得する場合など、要配慮個人情報の取扱いに関する記述として、最も適切なものはどれか。
- A：社内の利用にとどめるのであれば、取得についての本人の同意は不要である。
- B：オプトアウトの届出をすれば、本人の同意なく第三者へ提供できる。
- C：取得には法令に基づく場合などを除き、あらかじめ本人の同意が必要である。
- D：病歴は該当するが、健康診断の結果は要配慮個人情報には該当しない。
【第2問：正解と解説】
正解：C
・A
社内利用に限定することだけを理由に、取得時の本人同意が不要になるわけではない。ただし、法令に基づく場合など、個人情報保護法が定める例外に該当する場合は、本人の同意なく取得できる。
・B
要配慮個人情報は、オプトアウト方式による第三者提供の対象外である。
・C
正しい。健康診断の結果は要配慮個人情報に該当し、その取得には、法令に基づく場合などを除き、原則としてあらかじめ本人の同意が必要である。
・D
健康診断の結果も心身の状態に関する情報として同様の配慮の対象になる。
重要度：B
問3：個人データの安全管理措置のうち、「人的安全管理措置」に当たる取組みはどれか。
- A：個人データを取り扱う従業者への教育と、監督の実施
- B：個人データを取り扱う区域の入退室の管理と、機器の固定
- C：個人データへのアクセス制御と、不正アクセスの防止対策
- D：取扱い状況を点検する体制の整備と、取扱規程の策定
【第3問：正解と解説】
正解：A
・A
正しい。従業者の教育・監督は人的安全管理措置に区分される。
・B
区域管理や盗難防止は物理的安全管理措置に当たる。
・C
アクセス制御や不正アクセス対策は技術的安全管理措置に当たる。
・D
体制や規程の整備は組織的安全管理措置に当たる。
重要度：A
問4：C社で、顧客5,000人分の氏名とクレジットカード番号を含む個人データが不正アクセスにより漏えいした。個人情報保護法上のC社の義務として、最も適切なものはどれか。
- A：被害の全容が確定するまでの間は、報告も通知も行わずに調査へ専念する。
- B：自社サイトでの公表をもって、法に定める本人への通知に代えられる。
- C：警察へ被害を届け出れば、個人情報保護委員会への報告は不要になる。
- D：個人情報保護委員会へ速報・確報の二段階で報告し、本人へも速やかに通知する。
【第4問：正解と解説】
正解：D
・A
おそれの段階から速報が求められる。全容の確定を待ってはならない。
・B
公表による代替は、本人への通知が困難な場合の限定的な措置である。
・C
警察への届出と委員会への報告は別の義務であり、代替関係にない。
・D
正しい。委員会への報告は速報とその後の確報の二段階で行い、本人への通知は事態に応じて速やかに行う。
重要度：B
問5：D社は、ダイレクトメールの発送業務のために顧客の氏名と住所を印刷会社へ渡すことにした。個人情報保護法上の整理として、最も適切なものはどれか。
- A：第三者提供に当たるため、あらかじめ全顧客から個別の同意を得る必要がある。
- B：委託に伴う提供であり第三者提供には当たらないが、委託先の監督義務を負う。
- C：オプトアウトの届出を行わなければ、印刷会社へ渡すことはできない。
- D：提供先が国内の事業者であれば、法律上の義務は特に生じない。
【第5問：正解と解説】
正解：B
・A
利用目的の達成に必要な範囲での委託に伴う提供は、第三者提供に当たらない。
・B
正しい。同意は不要だが、委託先に対する必要かつ適切な監督が義務付けられる。
・C
オプトアウトは第三者提供の例外手続であり、委託の場面には関係しない。
・D
委託先の監督義務が生じるため、義務がないという整理は誤りである。
コメント