重要度：B
問6：個人データの第三者提供におけるオプトアウト方式に関する記述として、最も適切なものはどれか。
- A：本人へ通知等を行っていれば、個人情報保護委員会への届出は省略できる。
- B：要配慮個人情報であっても、届出を行えばこの方式で提供できる。
- C：本人の求めに応じて提供を停止することを条件に、同意なく提供できる仕組み
- D：一度この方式で提供を開始した後は、本人は提供の停止を求められない。
【第6問：正解と解説】
正解：C
・A
必要事項の通知等に加えて、委員会への届出が要件とされている。
・B
要配慮個人情報は、オプトアウト方式の対象から除外されている。
・C
正しい。停止の求めに応じることを前提とした、同意によらない例外的な提供方式である。
・D
本人はいつでも停止を求めることができ、事業者は応じる義務を負う。
重要度：B
問7：E社は蓄積した購買データを、本人の同意を取り直さずに外部の企業へ販売したいと考えている。個人情報保護法上、この目的に適合する加工はどれか。
- A：特定の個人を識別できず復元もできないよう加工し、匿名加工情報として提供する。
- B：他の情報と照合しない限り識別できないよう加工し、仮名加工情報として提供する。
- C：氏名の列のみを削除し、顧客番号を残したまま個人データとして提供する。
- D：データを暗号化し、復号鍵とともに提供先の企業へ引き渡す。
【第7問：正解と解説】
正解：A
・A
正しい。匿名加工情報は、公表等の義務を守れば同意なく第三者へ提供できる。
・B
仮名加工情報は内部での利用が前提であり、原則として第三者提供できない。
・C
容易照合性が残るため個人データのままであり、同意のない提供はできない。
・D
鍵とともに渡せば復元できるため、識別可能な状態の提供と変わらない。
重要度：C
問8：F社の顧客から、F社が保有する自分に関する保有個人データについて開示の請求があった。F社の対応として最も適切なものはどれか。
- A：開示に応じるかどうかは事業者の任意であるため、応じない方針を回答する。
- B：法の例外事由に当たる場合を除き、遅滞なく本人へ開示する。
- C：開示は書面の郵送に限られるため、電磁的な方法の希望には応じない。
- D：本人確認を省略し、請求のあった宛先へ速やかにデータを送付する。
【第8問：正解と解説】
正解：B
・A
保有個人データの開示は本人の権利であり、事業者の任意ではない。
・B
正しい。業務への著しい支障など例外に当たらない限り、開示義務を負う。
・C
本人は電磁的記録の提供による開示を請求でき、原則それに応じる。
・D
本人確認を怠ると、なりすましへの開示という新たな漏えいを生む。
重要度：C
問9：G社は、単体では個人を識別できないCookieに基づく閲覧履歴を、広告会社H社へ提供しようとしている。H社では自社の会員情報と突き合わせて個人データとして利用する見込みである。G社に求められる対応として、最も適切なものはどれか。
- A：識別できない情報の提供であるため、提供先での利用方法までは確認しなくてよい。
- B：提供の前に、閲覧履歴を匿名加工情報の基準で加工しなければならない。
- C：提供の後に、H社での利用状況を毎月監査しなければならない。
- D：H社が本人の同意を得ていることなどを提供前に確認し、その確認記録を作成・保存する。
【第9問：正解と解説】
正解：D
・A
提供先で個人データとなることが想定される場合は、確認等の義務が生じる。
・B
個人関連情報の提供に、匿名加工の基準による加工は求められていない。
・C
法が求めるのは提供時の確認等であり、毎月の監査ではない。
・D
正しい。提供先のH社が閲覧履歴を個人データとして取得することが想定されるため、G社は、H社が本人の同意を得ていることなどを確認し、確認に関する記録を作成・保存する必要がある。
重要度：C
問10：I社は顔認証による入退室システムの導入を計画しており、導入前にPIA（プライバシー影響評価）を実施することにした。PIAで行うこととして、最も適切なものはどれか。
- A：システムの稼働後に苦情が寄せられてから、収集する情報の範囲を検討する。
- B：評価の実施をもって、本人への利用目的の説明は不要になると整理する。
- C：収集する情報や利用目的、誤認識の影響を事前に評価し、対策を設計へ反映する。
- D：法令に違反していないことだけを確認し、プライバシーへの影響は評価しない。
【第10問：正解と解説】
正解：C
・A
事後の対応では設計の見直しが困難になる。PIAは導入前の事前評価である。
・B
PIAを実施しても、個人情報保護法上適用される利用目的の通知・公表・明示や、第三者提供に関する同意取得などの義務が免除されるわけではない。
・C
正しい。収集する情報の範囲、利用目的、保存期間、誤認識の影響などを事前に洗い出し、設計段階で対策を組み込むのがPIAの目的である。
・D
適法性の確認だけでなく、プライバシーへの影響そのものを評価するのがPIAである。
コメント