個人情報保護士まとめ

概要

個人情報保護士は、個人情報保護法の理解と実務対応能力を持つプロフェッショナル向けの日本国内の資格です。個人情報保護士は、日本の個人情報保護法の基本原則、個人情報の適正な取得・利用・提供、同意の取得方法、安全管理措置の実装、個人情報の漏えい等への対応、個人からの開示・訂正・削除請求への対応、プライバシーポリシーの策定、組織内での個人情報保護体制の構築、個人情報保護委員会への報告義務、罰則規定の理解に加えて、GDPRをはじめとする国際的な個人情報保護規制の基本的な理解も含む、個人情報保護に関する幅広い知識領域をカバーしています。

2つの領域

1. 個人情報保護法とマイナンバー法

1.1 個人情報保護法総説

個人情報保護の法体系
背景と施行の流れ
2003年制定 → 2005年全面施行 → 2017年「大改正」全面施行（2017/5/30）→ 2020年見直し → 2022年春〜6月にかけて改正全面施行。
EUのGDPR（EEA域内の統一規則）との整合性が重要化し、2019/1/23にEUから十分性認定を取得。これにより日EU間のデータ移転が契約取決めに依存せず可能に。
法のスコープ（第1条の趣旨）
個人情報の有用性に配慮しつつ、個人の権利利益を保護。第1〜3章は基本理念・国/地方公共団体の責務等、第4〜7章は民間の個人情報取扱事業者の義務を定める。
行政機関・独法・地方公共団体は別法/条例が対象だが、基本理念上の責務は本法にも記載される（試験での論点）。
各種認定制度

1.2 個人情報保護法の基本法部分

法の目的と基本理念
用語の定義
個人情報（法2条）
生存する個人に関する情報で、①記述等や音声・画像により特定個人を識別できるもの、②個人識別符号を含むもの（生体情報・公的番号等）。
試験で問われやすい例：防犯カメラ映像/音声、公開電話帳や本人が公開した情報、評価情報、暗号化情報も復号可能性を問わず原則「個人情報」。死亡者情報でも、生存者の情報に当たる部分は個人情報。法人情報は除外だが、代表者個人に関する情報は該当。氏名＋会社ドメイン等で個人が識別できるメールアドレスも該当。
要配慮個人情報
人種・信条・社会的身分・病歴・犯罪歴・被害歴等、差別・不利益のおそれがあるもの。取得は原則「本人同意」要。オプトアウトでの第三者提供は不可。
個人情報データベース等／個人データ／保有個人データ
データベース化された集合物を個人情報データベース等、そこから取り出した1件を個人データという。保有個人データは、事業者が開示・訂正・利用停止等の権限を持つ個人データ（ただし6か月以内に消去するものや公益を害するおそれがある情報等は除外）。
個人情報取扱事業者
個人情報データベース等を事業の用に供する者（営利/非営利・個人/法人を問わない）。国・独法・地方公共団体は除外（別法/条例の適用）。
国及び地方公共団体の責務や施策等

1.3 個人情報に関する義務（法17〜21）

利用目的の特定（17）・目的外利用の制限（18）・不適正な利用の禁止（19）
「マーケティングに用いる」など曖昧な目的は不可。目的外利用は本人同意が必要。
適正取得（20）／要配慮個人情報の取得制限（20②）
不正の手段で取得してはならない。要配慮個人情報は取得時から同意要。
取得時の通知/公表（21）
日本法は取得時の同意を必須とはしていない（※書面で直接取得する場合は目的の明示が必要）。目的の公表/通知で足りるケースが多い。

1.4 個人データに関する義務（法22〜30）

正確性・不要データの削除（22）／安全管理措置（23）
事故防止の体制整備が求められる。
従業者（24）・委託先（25）の監督
社内教育・委託先の安全管理も事業者の義務。
漏えい等の報告等（26）
※現行法は漏えい等発生時の報告・通知の枠組みを規定。
第三者提供の制限（27）
原則本人同意が必要。
例外（27①：旧23①）：令状等に基づく手続、生命・身体・財産の保護で同意困難、災害等の緊急時、捜査協力など。
オプトアウト（27②〜④）：一定要件下で本人同意なく提供可だが、個人情報保護委員会への届出と公表が必須、要配慮個人情報は不可。ベネッセ事件後に厳格化。
「第三者」に当たらない場合（27⑤）：委託、事業承継、共同利用。
外国にある第三者への提供（28）
※主旨：GDPRとの整合／十分性認定やSCC等を通じた国際移転管理。
提供時の確認・記録義務（29・30）
トレーサビリティ（3年間の記録保管）：提供側は相手先・項目等を記録、受領側も取得経緯を記録。

1.5 個人関連情報に関する義務（法31）

補足：個人関連情報を第三者提供する際に、受領側で当該情報を個人データ化するために本人同意が必要となる場面の整理などが論点。

1.6 保有個人データに関する義務（法32〜39）

周知・公表（32）／利用目的通知請求（32②・③）
取扱い事業者名、利用目的、苦情窓口、請求手続等を容易に知り得る状態に。
開示請求（33）・第三者提供記録の開示請求（33⑤）
本人からの請求に応じる体制・手数料の整備。
訂正等（34）／利用停止等（35①・②）／第三者提供の停止（35③・④）
日本法はGDPRと異なり、請求に常に従う義務ではない。目的内利用であれば停止不要の判断もあり得るが、その場合は理由の説明が必要。
手続・手数料（37・38）／訴え前の事前請求（39）
（主に「理由の説明」や受付窓口の整備に言及）

1.7 仮名加工情報取扱事業者等の義務（法41・42）

仮名加工情報取扱事業者等の義務（法41条・42条）

1.8 匿名加工情報に関する義務等（法43〜46）

導入の背景
ビッグデータ利活用を円滑化するため2017年改正で新設。Suica移動履歴提供の社会的議論を契機に、識別性の判断の曖昧さを是正。
定義
特定個人を識別できず、かつ復元できないように加工した情報。個人情報ではないため、目的外利用や第三者提供に本人同意は不要。
作成者の義務
識別要素の削除（氏名等）
個人識別符号の削除（顔画像・指紋等）
連結用IDの削除（内部での照合を不能化）
特異値の削除/一般化（超高齢などユニークな値）
加工方法の公表（含まれる情報項目の公表）、安全管理措置、再識別の禁止
第三者提供時：項目・提供方法の公表、匿名加工情報である旨の明示
受領者の義務
再識別の禁止、安全管理措置（努力義務）、再提供時の項目・方法の公表と匿名加工情報である旨の明示。
誤解しやすい点
単なるマスキングのみや加工途上は匿名加工情報にならない／統計情報はもともと個人情報に該当しないため匿名加工情報ではない。

1.9 実効性を担保する仕組み等

個人情報の取扱いに関する苦情処理（40）、PPC（個人情報保護委員会）による監視・監督、罰則（176〜185）など。
特に、オプトアウトの厳格化（委員会への届出・公表）、第三者提供の記録義務（3年）といった実効性確保の要。

1.10 行政機関等における個人情報等の取扱い

本法の第4〜7章は民間が中心。行政機関や独法、地方公共団体は別法/条例が適用。ただし基本理念上の責務は本法にも記載される。

1.11 マイナンバー法の理解

総則（法1条-6条）
個人番号（法7条-16条）
個人番号カード（法16条の２-18条の２）
特定個人情報の提供(法19条-26条)
特定個人情報の保護(法27条-32条)
特定個人情報の取扱いに関する監督等（法33条-38条）
法人番号（法39条-42条）
雑則（法43条-47条）
罰則（法48条-57条）

2. 個人情報保護の対策と情報セキュリティ

2.1 脅威と対策

個人情報保護法と情報セキュリティ
情報セキュリティ
脅威と脆弱性に対する理解
情報セキュリティ関連の対策基準
法令順守の実効化には安全管理措置（技術的・組織的）と提供記録/再識別禁止等の運用統制が不可欠。
個人情報保護法のガイドライン

2.2 組織的・人的セキュリティ

基本方針の策定
個人情報の洗い出しと管理
リスクの認識、分析、対策
規程文書（内部規程）の整備
組織的安全管理措置
人的安全管理措置
従業者の監督（24）：教育・研修・誓約、権限管理、ログ監査。
委託先の監督
委託先の監督（25）：契約条項・点検・監査
事故・苦情等への対応

2.3 オフィスセキュリティ

物理的セキュリティ対策に関連する知識
物理的安全管理措置の実施項目
災害対策

2.4 情報システムセキュリティ

技術的セキュリティ対策に関連する知識
技術的安全管理措置の実施項目

付記：実務の“落とし穴”

「行政機関等は本法の適用外」という断定は誤り：基本理念上の責務は記載あり。
個人データの第三者提供は原則同意要／オプトアウトは厳格要件（届出・公表・要配慮除外・記録3年）。
匿名加工情報は全要件を満たして初めて成立（マスキングだけでは不可）。
本人請求と事業者対応：日本法は常に請求通りではなく、目的内利用なら停止不要の判断もありうる（その場合は理由の説明が義務）。
共同利用・委託・事業承継は「第三者」に当たらない（同意不要の整理が可能だが、公表/契約/内部統制の要件管理は必須）。