IPA 個人情報保護・プライバシー — 頻出論点と過去問

頻出論点

1. この分野は何か

氏名や番号から誰のことか分かる情報は、事業者がそれを集める、使う、外へ渡すという場面ごとに、本人の意思をどう確かめるかが問題になります。誰のことか分からないように手を加えたデータは本人の同意を離れて使える幅が広がる一方で、加工の水準と渡すときの手続に縛りが付きます。個人情報保護法やマイナンバー制度といった日本の仕組みのほかに、EUの規則や、社内で個人情報を守る仕組みを第三者が認める制度も、事業者の扱い方に関わってきます。

2. 実際の出題のされ方

問いの形は、用語の定義を選ばせるものと、具体的な事例が法律の例外や制度に当てはまるかを判定させるものに大きく二つあります。用語の意味をそのまま尋ねる問いとして、ITパスポートには、匿名加工情報の説明、マイナンバーに関する適切な説明、オプトアウトに当たる事例、要配慮個人情報に該当する項目を選ぶものがあります。本人の同意なしで個人データを渡せる行為と、EUの一般データ保護規則（GDPR）が及ぶ場面は、同じITパスポートで、記述の組合せから正しいものを全て選ばせる形をとりました。

応用情報技術者の午前は、同じ用語でも条文の要件まで読ませます。要配慮個人情報に当たる記述を定義の文から選ぶ問いと、匿名加工情報を第三者に渡す事業者に課される義務を選ぶ問いがあります。

システム監査技術者の午前IIでは、国際的なデータ保護規則における個人の権利や、プライバシーに関する規格・監査手続が問われます。GDPR第20条におけるデータポータビリティの権利に当たるものを選ぶ問題、JIS X 9251:2021で定義されるプライバシー影響に関する全体的なプロセスの用語を選ぶ問題、プライバシーマークを取得している企業の内部監査で個人情報管理台帳の取扱いに関する指摘事項を選ぶ問題が出題されています。

3. 学習のポイント

第三者への提供は本人の同意を得てから行うのが原則で、同意なしで渡せるのは、法律が認めた例外の場面に限られます。取引先の営業に役立つといった事業者の側の都合だけでは、同意を省く理由になりません。

マイナンバーは、行政の手続で同じ人の情報をつなぐための番号で、法律が決めた手続の外では、集めることも使うことも許されません。

4. 間違えやすいところ

匿名加工情報の説明を選ぶ問題では、氏名を規則に従って置き換えた上で元の情報へ戻せる状態を保ったデータだとする誤答肢がありました。元の個人情報に戻せる状態を残したデータは、照らし合わせれば本人が分かるので、手を加えた後も個人情報のまま扱われます。

運転免許証などの公的な番号やカードの番号を、要配慮個人情報に該当するものとして挙げた誤答肢がありました。運転免許証の番号は、それだけで特定の人を指し示せる個人識別符号として、政令に名前の挙がっている番号です。

あらかじめ配信を希望した利用者にだけお知らせメールを送る事例を、オプトアウトに関する記述として挙げた誤答肢がありました。事前の同意や希望を待ってから送り始めるやり方は、オプトインの方式です。

GDPR第20条のデータポータビリティの権利を選ぶ問題では、検索サービスなどの提供者に自身の個人データを遅滞なく消去するよう求める権利だとする誤答肢がありました。事業者が持っている自分のデータを消させる権利は、同じGDPRが別に定める消去の権利（忘れられる権利）です。

GDPRの適用範囲について適切な記述を全て選ぶ問題では、EU域外に拠点を置く事業者が域外からEU域内へ向けてサービス等を提供する場合には適用されないとする誤った記述がありました。拠点がEUの外にある事業者でも、EU域内にいる人に商品やサービスを提供する場合や、域内での行動を見張る場合には、この規則が及びます。