個人データに関する義務

✓全476問・解説・間違い直しは登録不要・無料。無料登録で進捗をクラウド保存。模試・期日復習・弱点分析は Premium (月480円)

• ✓正解済み✗まだ正解していませんQ1中級データ内容の正確性の確保・努力義務・個人情報保護法第22条

  個人データの正確性の確保等について、個人情報保護法上、正しいものはどれか。

  →
  ▶答えと解説を先に見る

  解説: 法第22条は「利用目的の達成に必要な範囲内において、個人データを正確かつ最新の内容に保つとともに、利用する必要がなくなったときは、当該個人データを遅滞なく消去するよう努めなければならない」と定めています。「必要な範囲内において」「努めなければならない」という努力義務であり、すべて…

  根拠法令: 個人情報の保護に関する法律第22条

• ✓正解済み✗まだ正解していませんQ2初級安全管理措置・個人情報保護法第23条・組織的・人的・物理的・技術的

  個人情報保護法が定める安全管理措置について、正しいものはどれか。

  →
  ▶答えと解説を先に見る

  解説: 法第23条は「その取り扱う個人データの漏えい、滅失又は毀損の防止その他の個人データの安全管理のために必要かつ適切な措置を講じなければならない」と定めており、努力義務ではなく義務です。個人情報保護委員会のガイドライン（通則編）は、講ずべき措置として組織的・人的・物理的・技術的の4つ…

  根拠法令: 個人情報の保護に関する法律第23条

• ✓正解済み✗まだ正解していませんQ3中級委託先の監督・個人情報保護法第25条・第三者提供に該当しない

  個人データの取扱いを委託する場合について、個人情報保護法上、正しいものはどれか。

  →
  ▶答えと解説を先に見る

  解説: 法第25条は「その取扱いを委託された個人データの安全管理が図られるよう、委託を受けた者に対する必要かつ適切な監督を行わなければならない」と定めています。委託に伴う提供は法第27条第5項第1号により第三者提供に該当しないため本人の同意は不要ですが、その代わりに監督義務が課される構造…

  根拠法令: 個人情報の保護に関する法律第25条

• ✓正解済み✗まだ正解していませんQ4上級漏えい等の報告・本人への通知・個人情報保護法第26条

  個人データの漏えい等が発生した場合の報告等について、個人情報保護法上、誤っているものはどれか。

  →
  ▶答えと解説を先に見る

  解説: 法第26条第1項ただし書は、委託を受けた個人情報取扱事業者が、規則で定めるところにより当該事態が生じた旨を委託元である他の個人情報取扱事業者又は行政機関等に通知したときは、委員会への報告を要しないと定めています。したがって「必ず報告しなければならない」は誤りです。選択肢1は同条第…

  根拠法令: 個人情報の保護に関する法律第26条

• ✓正解済み✗まだ正解していませんQ5初級第三者提供の制限・グループ会社・共同利用

  個人データの第三者提供について、個人情報保護法上、あらかじめ本人の同意を得ないで提供できる場合として誤っているものはどれか。

  →
  ▶答えと解説を先に見る

  解説: 法第27条第1項は本人の同意なく第三者提供できる場合を第1号から第7号までに限定列挙しており、資本関係やグループ会社であることは掲げられていません。親子会社・グループ会社であっても法人格が別であれば第三者に当たります。グループ内で共有したい場合は、同条第5項第3号の共同利用の要件…

  根拠法令: 個人情報の保護に関する法律第27条第1項

• ✓正解済み✗まだ正解していませんQ6上級第三者に該当しない場合・委託・事業承継・共同利用・個人情報保護法第27条第5項

  個人情報保護法第27条第5項により、個人データの提供を受ける者が「第三者」に該当しないものとされる場合として、誤っているものはどれか。

  →
  ▶答えと解説を先に見る

  解説: 法第27条第5項は第三者に該当しない場合を第1号（委託）、第2号（事業承継）、第3号（共同利用）の3つに限定しています。有償での売却は掲げられておらず、売却先の届出によって第三者性が消えることもありません。なお本人の同意を得ずに提供する方法としてはオプトアウト（同条第2項）があり…

  根拠法令: 個人情報の保護に関する法律第27条第5項

• ✓正解済み✗まだ正解していませんQ7上級オプトアウト・個人情報保護委員会への届出・要配慮個人情報

  個人情報保護法第27条第2項のオプトアウトによる第三者提供について、正しいものはどれか。

  →
  ▶答えと解説を先に見る

  解説: 法第27条第2項は、本人の求めに応じて提供を停止することとしている場合に、同項各号の事項をあらかじめ本人に通知し、又は本人が容易に知り得る状態に置くとともに、個人情報保護委員会に届け出たときに限り、本人の同意なく提供できると定めています。同項ただし書は、要配慮個人情報、第20条第…

  根拠法令: 個人情報の保護に関する法律第27条第2項

• ✓正解済み✗まだ正解していませんQ8中級従業者の監督・個人情報保護法第24条・派遣社員

  従業者の監督について、個人情報保護法上、正しいものはどれか。

  →
  ▶答えと解説を先に見る

  解説: 法第24条は「その従業者に個人データを取り扱わせるに当たっては、当該個人データの安全管理が図られるよう、当該従業者に対する必要かつ適切な監督を行わなければならない」と定めています。ここでいう従業者には、雇用関係にある者だけでなく、派遣社員や取締役・監査役など事業者の指揮監督を受け…

  根拠法令: 個人情報の保護に関する法律第24条

• ✓正解済み✗まだ正解していませんQ9中級共同利用・通知又は容易に知り得る状態・個人情報保護法第27条第5項第3号

  共同利用により個人データを提供する場合、あらかじめ本人に通知し、又は本人が容易に知り得る状態に置かなければならない事項として、個人情報保護法上、誤っているものはどれか。

  →
  ▶答えと解説を先に見る

  解説: 法第27条第5項第3号は、共同利用の際にあらかじめ本人に通知等すべき事項として、共同利用する旨、共同して利用される個人データの項目、共同して利用する者の範囲、利用する者の利用目的、当該個人データの管理について責任を有する者の氏名又は名称及び住所（法人にあっては代表者の氏名）を挙げ…

  根拠法令: 個人情報の保護に関する法律第27条第5項第3号

• ✓正解済み✗まだ正解していませんQ10上級共同利用の変更・事前の通知・個人情報保護法第27条第6項

  共同利用に関する事項を変更する場合の手続について、個人情報保護法上、正しいものはどれか。

  →
  ▶答えと解説を先に見る

  解説: 法第27条第6項は、管理責任者の氏名・名称・住所に変更があったときは遅滞なく、利用する者の利用目的又は管理責任者を変更しようとするときはあらかじめ、本人に通知し、又は本人が容易に知り得る状態に置かなければならないと定めています。利用目的の変更は事後ではなく事前です。また共同利用は…

  根拠法令: 個人情報の保護に関する法律第27条第6項

• ✓正解済み✗まだ正解していませんQ11初級安全管理措置の4分類・ガイドライン通則編・個人情報保護法第23条

  個人情報保護法における安全管理措置の4分類について、個人情報保護委員会のガイドライン（通則編）上、含まれないものはどれか。

  →
  ▶答えと解説を先に見る

  解説: 個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」は、法第23条の安全管理措置として、組織的安全管理措置・人的安全管理措置・物理的安全管理措置・技術的安全管理措置の4つを示しています。「経済的安全管理措置」という分類はありません。組織的は体制整備や取…

  根拠法令: 個人情報の保護に関する法律第23条

• ✓正解済み✗まだ正解していませんQ12中級個人関連情報・同意取得の確認・個人情報保護法第31条

  個人関連情報の第三者提供について、個人情報保護法上、正しいものはどれか。

  →
  ▶答えと解説を先に見る

  解説: 法第31条第1項は、個人関連情報取扱事業者が個人関連情報を第三者に提供する場合において、当該第三者が個人関連情報を個人データとして取得することが想定されるときは、原則として、当該本人の同意が得られていることを確認しないで提供してはならないと定めています。同意の取得主体は提供先であ…

  根拠法令: 個人情報の保護に関する法律第31条

• ✓正解済み✗まだ正解していませんQ13上級外国にある第三者・越境移転・個人情報保護法第28条

  外国にある第三者への個人データの提供について、個人情報保護法上、誤っているものはどれか。

  →
  ▶答えと解説を先に見る

  解説: 法第28条第1項は、外国にある第三者への提供に本人の同意を要するとしつつ、法第27条第1項各号に掲げる場合（法令に基づく場合など）はこの限りでないとしています。したがって「いかなる場合も」は誤りです。また、規則で定める国にある第三者や、体制を整備している第三者は「外国にある第三者…

  根拠法令: 個人情報の保護に関する法律第28条

• ✓正解済み✗まだ正解していませんQ14中級第三者提供記録・確認記録義務・個人情報保護法第29条

  第三者提供に係る記録の作成等について、個人情報保護法上、正しいものはどれか。

  →
  ▶答えと解説を先に見る

  解説: 法第29条第1項は、個人データを第三者に提供したときは、規則で定めるところにより、提供年月日、第三者の氏名又は名称その他規則で定める事項に関する記録を作成しなければならないと定め、同条第2項で一定期間の保存を義務づけています。提供を受ける側にも法第30条により確認と記録の義務があ…

  根拠法令: 個人情報の保護に関する法律第29条

• ✓正解済み✗まだ正解していませんQ15上級提供を受ける際の確認・取得の経緯・個人情報保護法第30条

  個人データの第三者提供を受ける際の確認等について、個人情報保護法上、確認しなければならない事項として正しいものはどれか。

  →
  ▶答えと解説を先に見る

  解説: 法第30条第1項は、第三者から個人データの提供を受けるに際し、当該第三者の氏名又は名称及び住所（法人にあってはその代表者の氏名）と、当該第三者による当該個人データの取得の経緯を確認しなければならないと定めています。取得の経緯を確認させることで、不正に取得された個人データが流通する…

  根拠法令: 個人情報の保護に関する法律第30条

• ✓正解済み✗まだ正解していませんQ16中級第三者提供記録・保存期間・3年

  第三者提供に係る記録の保存期間について、個人情報保護法施行規則上、原則として正しいものはどれか。

  →
  ▶答えと解説を先に見る

  解説: 個人情報保護法施行規則第21条は、法第29条第2項の記録の保存期間を原則3年と定めています。ただし、一括して記録を作成した場合は最後に当該記録に係る個人データの提供を行った日から3年、契約書等の代替手段による場合は最後に当該提供を行った日から1年とされています。提供を受ける側の記…

  根拠法令: 個人情報の保護に関する法律第29条第2項

• ✓正解済み✗まだ正解していませんQ17上級確認記録義務の適用除外・法令に基づく場合・委託・事業承継・共同利用

  確認・記録義務が適用されない場合として、個人情報保護法上、正しいものはどれか。

  →
  ▶答えと解説を先に見る

  解説: 法第29条第1項ただし書及び法第30条第1項ただし書は、法第27条第1項各号（法令に基づく場合等）又は第5項各号（委託・事業承継・共同利用）のいずれかに該当する場合には、記録の作成義務・確認義務が適用されないと定めています。本人の同意を得た提供やオプトアウトによる提供は、これらの…

  根拠法令: 個人情報の保護に関する法律第29条第1項

• ✓正解済み✗まだ正解していませんQ18中級委託先の選定・同等の安全管理措置・取扱状況の把握

  委託先の選定について、ガイドライン（通則編）上、委託元が確認すべき事項として最も適切なものはどれか。

  →
  ▶答えと解説を先に見る

  解説: ガイドライン（通則編）は、法第25条の委託先の監督として「委託を受けた者が法第23条に基づき当該個人データについて安全管理措置を講じているかについて確認しなければならない」旨を示し、委託元が自ら果たすべき安全管理措置と同等の措置が講じられるよう、委託先の選定・委託契約の締結・委託…

  根拠法令: 個人情報の保護に関する法律第25条

• ✓正解済み✗まだ正解していませんQ19上級再委託・間接的な監督・番号法との違い

  個人データの取扱いを再委託する場合について、個人情報保護法上の考え方として最も適切なものはどれか。

  →
  ▶答えと解説を先に見る

  解説: 個人情報保護法は再委託を明文で禁止していませんが、ガイドライン（通則編）は、委託先が再委託を行う場合には、委託元は委託先が再委託先に対して法第25条の委託先の監督を適切に果たすかどうか、再委託先が個人データを適切に取り扱うかどうかを確認することが求められるとしています。委託元の責…

  根拠法令: 個人情報の保護に関する法律第25条

• ✓正解済み✗まだ正解していませんQ20中級速報・確報・30日/60日

  漏えい等の報告における「速報」について、個人情報保護法施行規則上、正しいものはどれか。

  →
  ▶答えと解説を先に見る

  解説: 個人情報保護法施行規則第8条第1項は、法第26条第1項の報告について、報告対象事態を知った後、速やかに、当該時点において把握している事項を報告しなければならないと定めています（速報）。同条第2項は、原則として当該事態を知った日から30日以内（不正の目的をもって行われたおそれがある…

  根拠法令: 個人情報の保護に関する法律第26条第1項

• ✓正解済み✗まだ正解していませんQ21上級漏えい等の報告事項・二次被害・再発防止措置

  漏えい等の報告事項として、個人情報保護法施行規則が定めるものに含まれないものはどれか。

  →
  ▶答えと解説を先に見る

  解説: 個人情報保護法施行規則第8条第1項は、報告事項として、①概要、②漏えい等が発生し、又は発生したおそれがある個人データの項目、③同じく本人の数、④原因、⑤二次被害又はそのおそれの有無及びその内容、⑥本人への対応の実施状況、⑦公表の実施状況、⑧再発防止のための措置、⑨その他参考となる…

  根拠法令: 個人情報の保護に関する法律第26条第1項

• ✓正解済み✗まだ正解していませんQ22中級安全管理措置の水準・リスクベース・事業の規模及び性質

  個人データの安全管理措置の水準について、ガイドライン（通則編）上、正しいものはどれか。

  →
  ▶答えと解説を先に見る

  解説: ガイドライン（通則編）別添は、安全管理措置を講ずるための具体的な手法について、個人データが漏えい等をした場合に本人が被る権利利益の侵害の大きさを考慮し、事業の規模及び性質、個人データの取扱状況（性質及び量を含む）、記録媒体の性質等に起因するリスクに応じて、必要かつ適切な内容とすべ…

  根拠法令: 個人情報の保護に関する法律第23条

• ✓正解済み✗まだ正解していませんQ23上級外国にある第三者・同等水準国・体制整備

  外国にある第三者への個人データの提供において、本人の同意を要しない場合として、個人情報保護法上、正しいものはどれか。

  →
  ▶答えと解説を先に見る

  解説: 法第28条第1項括弧書は「個人の権利利益を保護する上で我が国と同等の水準にあると認められる個人情報保護制度を有している外国として個人情報保護委員会規則で定めるものを除く」としており、規則で指定された国（EU及び英国）にある第三者は「外国にある第三者」から除かれます。また、提供先が…

  根拠法令: 個人情報の保護に関する法律第28条第1項

• ✓正解済み✗まだ正解していませんQ24上級越境移転・情報提供義務・移転先国の制度

  外国にある第三者へ提供する際の本人への情報提供について、個人情報保護法上、正しいものはどれか。

  →
  ▶答えと解説を先に見る

  解説: 法第28条第2項は、外国にある第三者への提供について本人の同意を得ようとする場合には、あらかじめ、当該外国における個人情報の保護に関する制度、当該第三者が講ずる個人情報の保護のための措置その他当該本人に参考となるべき情報を本人に提供しなければならないと定めています。規則により、移…

  根拠法令: 個人情報の保護に関する法律第28条第2項

• ✓正解済み✗まだ正解していませんQ25中級個人関連情報・同意取得の確認・越境移転時の情報提供

  個人関連情報の第三者提供において、提供元が確認すべき事項について、正しいものはどれか。

  →
  ▶答えと解説を先に見る

  解説: 法第31条第1項は、個人関連情報を第三者に提供する場合において、当該第三者が個人データとして取得することが想定されるときは、①当該本人の同意が得られていること、②外国にある第三者への提供にあっては、本人に対して法第28条第2項に相当する情報が提供されていること、を確認しないで提供…

  根拠法令: 個人情報の保護に関する法律第31条第1項

• ✓正解済み✗まだ正解していませんQ26上級オプトアウト届出事項・取得の方法・提供の方法

  個人データの第三者提供におけるオプトアウト届出事項に含まれないものはどれか。

  →
  ▶答えと解説を先に見る

  解説: 法第27条第2項各号は、オプトアウトの届出事項として、①提供を行う事業者の氏名又は名称及び住所並びに法人にあっては代表者の氏名、②第三者への提供を利用目的とすること、③提供される個人データの項目、④取得の方法、⑤提供の方法、⑥本人の求めに応じて提供を停止すること、⑦本人の求めを受…

  根拠法令: 個人情報の保護に関する法律第27条第2項

• ✓正解済み✗まだ正解していませんQ27中級委託・業務の範囲内・目的外利用の禁止

  委託に伴って提供された個人データの取扱いについて、正しいものはどれか。

  →
  ▶答えと解説を先に見る

  解説: 法第27条第5項第1号により、委託に伴う提供は第三者提供に当たらないとされますが、これは委託元の利用目的の達成に必要な範囲内で取り扱われることが前提です。ガイドライン（通則編）は、委託先が委託された業務以外に個人データを取り扱うことは認められないとしています。委託先が自社の目的で…

  根拠法令: 個人情報の保護に関する法律第27条第5項第1号

• ✓正解済み✗まだ正解していませんQ28上級従業者の監督・退職後の秘密保持・データベース提供罪

  個人データの安全管理措置に関し、従業者の退職後の取扱いについて、最も適切なものはどれか。

  →
  ▶答えと解説を先に見る

  解説: 法第24条の従業者の監督は在職中の従業者を対象としますが、ガイドライン（通則編）別添の人的安全管理措置は、個人データについての秘密保持に関する事項を就業規則等に盛り込むことを手法として例示しており、退職後の秘密保持を含めて定めることが実務上一般的です。法第179条のデータベース提…

  根拠法令: 個人情報の保護に関する法律第24条

• ✓正解済み✗まだ正解していませんQ29中級提供を受ける際の記録・確認を行った事項・保存

  個人データの提供を受ける際の記録事項として、個人情報保護法上、正しいものはどれか。

  →
  ▶答えと解説を先に見る

  解説: 法第30条第3項は、第三者から個人データの提供を受けたときは、規則で定めるところにより、同条第1項の規定による確認を行った事項、当該個人データの提供を受けた年月日その他の規則で定める事項に関する記録を作成しなければならないと定め、同条第4項で一定期間の保存を義務づけています。個人…

  根拠法令: 個人情報の保護に関する法律第30条第3項

• ✓正解済み✗まだ正解していませんQ30上級高度な暗号化・報告対象事態の該当性・鍵の管理

  個人データの漏えい等が発生したが、高度な暗号化その他の個人の権利利益を保護するために必要な措置が講じられている場合について、ガイドライン上の考え方として正しいものはどれか。

  →
  ▶答えと解説を先に見る

  解説: ガイドライン（通則編）は、高度な暗号化その他の個人の権利利益を保護するために必要な措置が講じられている場合には、法第26条第1項の報告対象となる「個人データの漏えい等」に該当しないものとして取り扱うとしています。もっとも、これは適切な暗号化と鍵の分離管理等が前提であり、暗号化して…

  根拠法令: 個人情報の保護に関する法律第26条第1項

• ✓正解済み✗まだ正解していませんQ31中級正確性の確保・努力義務・利用目的の達成に必要な範囲

  個人データの正確性の確保が努力義務とされている理由として、最も適切なものはどれか。

  →
  ▶答えと解説を先に見る

  解説: 法第22条は「利用目的の達成に必要な範囲内において、個人データを正確かつ最新の内容に保つとともに、利用する必要がなくなったときは、当該個人データを遅滞なく消去するよう努めなければならない」と定めています。ガイドライン（通則編）は、保有する個人データを一律に又は常に最新化する必要は…

  根拠法令: 個人情報の保護に関する法律第22条

• ✓正解済み✗まだ正解していませんQ32上級消去・利用する必要がなくなったとき・努力義務

  個人データの消去について、法第22条の考え方として正しいものはどれか。

  →
  ▶答えと解説を先に見る

  解説: 法第22条は、利用する必要がなくなったときは当該個人データを遅滞なく消去するよう努めなければならないと定めています。ガイドライン（通則編）は「利用する必要がなくなったとき」について、利用目的が達成され当該目的との関係では保存の必要がなくなった場合や、利用目的が達成されなかったが個…

  根拠法令: 個人情報の保護に関する法律第22条

• ✓正解済み✗まだ正解していませんQ33中級委託契約・盛り込むべき事項・再委託

  委託契約に盛り込むことが望ましい事項として、ガイドライン上、最も適切でないものはどれか。

  →
  ▶答えと解説を先に見る

  解説: ガイドライン（通則編）は、委託契約に盛り込むことが望ましい事項として、委託者及び受託者の責任の明確化、個人データの安全管理に関する事項（秘密保持義務、事業所内からの持出禁止、目的外利用の禁止、再委託に関する事項、漏えい等事案発生時の報告・連絡、契約終了後の措置等）、契約内容が遵守…

  根拠法令: 個人情報の保護に関する法律第25条

• ✓正解済み✗まだ正解していませんQ34上級記録の作成方法・契約書による代替・個人情報の保護に関する法律第29条

  第三者提供の記録を作成する方法について、個人情報保護法施行規則上、正しいものはどれか。

  →
  ▶答えと解説を先に見る

  解説: 個人情報保護法施行規則第19条は、法第29条第1項の記録の作成方法について、文書、電磁的記録又はマイクロフィルムを用いて作成する方法によるとしています。同条第2項は、本人に対する物品又は役務の提供に関連して個人データを提供した場合、当該提供に関して作成された契約書その他の書面をも…

  根拠法令: 個人情報の保護に関する法律第29条第1項

• ✓正解済み✗まだ正解していませんQ35中級記録事項・本人の同意を得ている旨・本人を特定するに足りる事項

  本人の同意を得た第三者提供において、記録すべき事項として正しいものはどれか。

  →
  ▶答えと解説を先に見る

  解説: 個人情報保護法施行規則第20条は、法第29条第1項の記録事項として、本人の同意を得ている旨、当該第三者の氏名又は名称その他の当該第三者を特定するに足りる事項、当該個人データによって識別される本人の氏名その他の当該本人を特定するに足りる事項、当該個人データの項目を定めています（オプ…

  根拠法令: 個人情報の保護に関する法律第29条第1項

• ✓正解済み✗まだ正解していませんQ36上級確認方法・申告を受ける方法・取得の経緯

  個人データの提供を受ける際の確認方法について、施行規則上、正しいものはどれか。

  →
  ▶答えと解説を先に見る

  解説: 個人情報保護法施行規則第22条は、法第30条第1項の確認について、第三者の氏名等は当該第三者から申告を受ける方法その他の適切な方法により、取得の経緯は当該第三者から取得の経緯を示す契約書その他の書面の提示を受ける方法その他の適切な方法により行うと定めています。登記事項証明書の提出…

  根拠法令: 個人情報の保護に関する法律第30条第1項

• ✓正解済み✗まだ正解していませんQ37中級漏えい等の対応・事実関係の調査・再発防止策

  個人データの漏えい等が発生した場合の対応の流れとして、一般に最も適切なものはどれか。

  →
  ▶答えと解説を先に見る

  解説: ガイドライン（通則編）は、漏えい等事案が発生した場合に講ずべき措置として、①事業者内部における報告及び被害の拡大防止、②事実関係の調査及び原因の究明、③影響範囲の特定、④再発防止策の検討及び実施、⑤個人情報保護委員会への報告及び本人への通知を挙げています。もっとも報告は速報として…

  根拠法令: 個人情報の保護に関する法律第26条

• ✓正解済み✗まだ正解していませんQ38上級漏えい等のおそれ・報告対象事態・個人情報の保護に関する法律第26条

  漏えい等の「おそれ」がある場合の取扱いについて、正しいものはどれか。

  →
  ▶答えと解説を先に見る

  解説: 個人情報保護法施行規則第7条は、報告対象事態について「漏えい等が発生し、又は発生したおそれがある事態」と定めており、確定していなくても報告対象となります。ガイドライン（通則編）は「おそれ」について、その時点で判明している事実関係からして漏えい等が発生した可能性があり、かつ、その可…

  根拠法令: 個人情報の保護に関する法律第26条第1項

• ✓正解済み✗まだ正解していませんQ39中級従業者の監督・事業者の責任・データベース提供罪

  従業者に対する監督が不十分であった場合の法的評価について、最も適切なものはどれか。

  →
  ▶答えと解説を先に見る

  解説: 法第24条は、従業者に個人データを取り扱わせるに当たり、安全管理が図られるよう必要かつ適切な監督を行わなければならないと定めています。従業者による漏えいが生じた場合、監督が不十分であれば事業者自身が同条違反を問われ、個人情報保護委員会による指導・勧告・命令の対象となり得ます。従業…

  根拠法令: 個人情報の保護に関する法律第24条

• ✓正解済み✗まだ正解していませんQ40上級個人関連情報・記録義務・準用

  個人関連情報の提供に関する記録義務について、正しいものはどれか。

  →
  ▶答えと解説を先に見る

  解説: 法第31条第3項は、法第30条第3項及び第4項の規定を個人関連情報取扱事業者について準用しており、確認を行ったときは記録を作成し、一定期間保存しなければなりません。個人関連情報は単体では個人を識別できないものの、提供先で個人データとなる場合には本人の権利利益に影響するため、追跡可…

  根拠法令: 個人情報の保護に関する法律第31条第3項

• ✓正解済み✗まだ正解していませんQ41中級委託先での漏えい・報告義務・通知による免除

  委託先で漏えいが発生した場合の報告義務について、正しいものはどれか。

  →
  ▶答えと解説を先に見る

  解説: 法第26条第1項本文は、報告対象事態が生じたときは個人情報取扱事業者が委員会に報告しなければならないと定め、同項ただし書は、委託を受けた者が規則で定めるところにより当該事態が生じた旨を委託元に通知したときは、この限りでないとしています。委託元は自ら報告義務を負い、委託先は通知によ…

  根拠法令: 個人情報の保護に関する法律第26条第1項

• ✓正解済み✗まだ正解していませんQ42上級オプトアウト・変更の届出・事前と事後

  オプトアウトによる第三者提供を行う事業者の義務について、正しいものはどれか。

  →
  ▶答えと解説を先に見る

  解説: 法第27条第3項は、第2項第1号に掲げる事項に変更があったとき又は同項の規定による提供をやめたときは遅滞なく、同項第3号から第5号まで、第7号又は第8号に掲げる事項を変更しようとするときはあらかじめ、その旨について本人に通知し、又は本人が容易に知り得る状態に置くとともに、委員会に…

  根拠法令: 個人情報の保護に関する法律第27条第3項

• ✓正解済み✗まだ正解していませんQ43中級必要かつ適切な措置・リスクベース・性質及び量

  個人データの安全管理措置における「必要かつ適切な措置」の判断について、正しいものはどれか。

  →
  ▶答えと解説を先に見る

  解説: ガイドライン（通則編）別添は、安全管理措置の具体的な手法について、個人データが漏えい等をした場合に本人が被る権利利益の侵害の大きさを考慮し、事業の規模及び性質、個人データの取扱状況（取り扱う個人データの性質及び量を含む）、記録媒体の性質等に起因するリスクに応じて、必要かつ適切な内…

  根拠法令: 個人情報の保護に関する法律第23条

• ✓正解済み✗まだ正解していませんQ44上級要配慮個人情報・報告対象事態・件数を問わない

  要配慮個人情報を含む個人データが漏えいした場合の報告について、正しいものはどれか。

  →
  ▶答えと解説を先に見る

  解説: 個人情報保護法施行規則第7条第1号は、要配慮個人情報が含まれる個人データの漏えい等が発生し、又は発生したおそれがある事態を報告対象としており、本人の数による限定は付されていません。したがって1件でも報告対象です。同条第4号の1,000人超という基準は、それ以外の一般的な漏えい等に…

  根拠法令: 個人情報の保護に関する法律第26条第1項

• ✓正解済み✗まだ正解していませんQ45中級確報・60日以内・不正の目的

  不正の目的をもって行われたおそれがある漏えい等について、確報の期限として正しいものはどれか。

  →
  ▶答えと解説を先に見る

  解説: 個人情報保護法施行規則第8条第2項は、確報について、原則として報告対象事態を知った日から30日以内としつつ、規則第7条第3号に定める事態（不正の目的をもって行われたおそれがある個人データの漏えい等）については60日以内と定めています。攻撃の全容解明に時間を要することを踏まえた期間…

  根拠法令: 個人情報の保護に関する法律第26条第1項

• ✓正解済み✗まだ正解していませんQ46上級オプトアウト・委員会による公表・個人情報の保護に関する法律第27条第4項

  第三者提供におけるオプトアウト届出の公表について、正しいものはどれか。

  →
  ▶答えと解説を先に見る

  解説: 法第27条第4項は「個人情報保護委員会は、第二項の規定による届出があったときは、個人情報保護委員会規則で定めるところにより、当該届出に係る事項を公表しなければならない。前項の規定による届出があったときも、同様とする」と定めています。委員会のウェブサイトでオプトアウト届出事業者の一…

  根拠法令: 個人情報の保護に関する法律第27条第4項

• ✓正解済み✗まだ正解していませんQ47中級委託と第三者提供・同意の要否・監督義務

  個人データの取扱いの委託と第三者提供の違いについて、正しいものはどれか。

  →
  ▶答えと解説を先に見る

  解説: 法第27条第5項第1号により、利用目的の達成に必要な範囲内での委託に伴う提供は第三者提供に当たらず、本人の同意は不要です。その代わりに法第25条の委託先の監督義務が生じます。これに対し第三者提供は原則として本人の同意が必要であり、提供後の相手方の取扱いについて監督義務は課されませ…

  根拠法令: 個人情報の保護に関する法律第27条第5項第1号

• ✓正解済み✗まだ正解していませんQ48上級共同利用・管理責任者・開示等の請求の窓口

  共同利用における「管理について責任を有する者」の意義について、正しいものはどれか。

  →
  ▶答えと解説を先に見る

  解説: ガイドライン（通則編）は、共同利用における「個人データの管理について責任を有する者」について、共同して利用する全ての者の中で、開示等の請求等及び苦情を受け付け、その処理に関する責任を有する者をいうとしています。取得の先後や事業規模で決まるものではなく、共同利用者間で定めるものです…

  根拠法令: 個人情報の保護に関する法律第27条第5項第3号

• ✓正解済み✗まだ正解していませんQ49中級法令に基づく場合・税務調査・捜査関係事項照会

  個人データを第三者に提供する場合に本人の同意が不要となる「法令に基づく場合」の例として、最も適切なものはどれか。

  →
  ▶答えと解説を先に見る

  解説: ガイドライン（通則編）は法第27条第1項第1号の「法令に基づく場合」の事例として、刑事訴訟法第197条第2項に基づく捜査関係事項照会への対応、税務署の所得税等に関する調査への対応、弁護士法第23条の2に基づく弁護士会からの照会への対応などを挙げています。社内規程や営業目的の提供は…

  根拠法令: 個人情報の保護に関する法律第27条第1項第1号、弁護士法第23条の2

• ✓正解済み✗まだ正解していませんQ50上級速報・把握している事項・確報

  漏えい等の報告における本人の数が確定していない場合の取扱いについて、正しいものはどれか。

  →
  ▶答えと解説を先に見る

  解説: 個人情報保護法施行規則第8条第1項は、速報について、報告対象事態を知った後速やかに「当該時点において把握している事項」を報告しなければならないと定めています。したがって本人の数が確定していなくても、判明している範囲で速報を行い、その後の調査で判明した事項を確報で補うことになります…

  根拠法令: 個人情報の保護に関する法律第26条第1項

• ✓正解済み✗まだ正解していませんQ51中級安全管理措置・従業者の監督・委託先の監督

  個人データの安全管理措置と従業者の監督・委託先の監督の関係について、正しいものはどれか。

  →
  ▶答えと解説を先に見る

  解説: 法第23条は個人データの安全管理のために必要かつ適切な措置を求める一般規定であり、法第24条は従業者に取り扱わせる場合の監督、法第25条は委託する場合の監督として、それぞれ具体的な場面を規律しています。三者は一体として個人データの安全管理を構成し、いずれも努力義務ではなく義務です…

  根拠法令: 個人情報の保護に関する法律第23条

• ✓正解済み✗まだ正解していませんQ52上級第三者の意義・法人格単位・グループ内提供

  個人データの提供に当たらない場合として、正しいものはどれか。

  →
  ▶答えと解説を先に見る

  解説: 第三者とは本人及び当該個人データを提供しようとする個人情報取扱事業者以外の者をいい、法人格を単位として判断されます。同一法人内の他部署への移動は法人内部の取扱いであり提供に当たりません。親会社・子会社・提携先はいずれも別法人であるため第三者に当たり、法第27条の規律を受けます。

  根拠法令: 個人情報の保護に関する法律第27条第1項

• ✓正解済み✗まだ正解していませんQ53中級確認記録義務・提供元と提供先・流通経路の追跡

  個人データの第三者提供に係る記録を作成しなければならない主体について、正しいものはどれか。

  →
  ▶答えと解説を先に見る

  解説: 法第29条第1項は個人データを第三者に提供したときの提供元の記録作成義務を、法第30条第3項は提供を受けたときの提供先の記録作成義務を定めています。双方が記録を残すことで、個人データの流通経路を事後に追跡できるようにする趣旨です。いずれも一定期間の保存が必要です。

  根拠法令: 個人情報の保護に関する法律第29条

• ✓正解済み✗まだ正解していませんQ54上級本人への通知・委託先・通知による免除

  委託先において個人データの漏えいが発生した場合の本人への通知義務について、正しいものはどれか。

  →
  ▶答えと解説を先に見る

  解説: 法第26条第2項本文は、報告対象事態が生じたときに本人へ通知しなければならないと定め、括弧書で「同項ただし書の規定による通知をした者を除く」としています。すなわち委託元に通知した委託先は本人への通知義務を免れ、委託元が本人への通知を行うことになります。報告義務と同じ整理です。

  根拠法令: 個人情報の保護に関する法律第26条第2項

• ✓正解済み✗まだ正解していませんQ55中級規律の整備・取扱規程・講じなければならない措置

  安全管理措置における「必要かつ適切な措置」に該当しないものとして、最も適切なものはどれか。

  →
  ▶答えと解説を先に見る

  解説: ガイドライン別添は、個人データの取扱いに係る規律の整備を「講じなければならない措置」として位置づけ、取得・利用・保存・提供・削除・廃棄等の段階ごとに取扱方法や責任者・担当者の任務等を定める取扱規程の策定を例示しています。規律を整備せず担当者の裁量に委ねることは、この要請に反します…

  根拠法令: 個人情報の保護に関する法律第23条

• ✓正解済み✗まだ正解していませんQ56上級外国にある第三者・法第27条各号の除外・個人情報の保護に関する法律第28条

  個人データの提供先が外国にある場合の法第28条と法第27条の関係について、正しいものはどれか。

  →
  ▶答えと解説を先に見る

  解説: 法第28条第1項は「第二十七条第一項各号に掲げる場合を除くほか、あらかじめ外国にある第三者への提供を認める旨の本人の同意を得なければならない」と定めており、法令に基づく場合や生命・身体・財産の保護のために必要な場合等は同意なく提供できます。両条は重層的に適用される関係にあります。

  根拠法令: 個人情報の保護に関する法律第28条第1項

• ✓正解済み✗まだ正解していませんQ57中級保存段階の措置・段階ごとの規律・保存期間の管理

  個人データの取扱いにおける「保存」の段階で求められる措置として、最も適切なものはどれか。

  →
  ▶答えと解説を先に見る

  解説: ガイドライン別添は、個人データの取扱いに係る規律を取得・利用・保存・提供・削除・廃棄等の段階ごとに定めることを例示しています。保存の段階では、アクセス制御による閲覧者の限定、施錠可能な場所での保管、滅失に備えたバックアップ、利用する必要がなくなった時点での消去に向けた保存期間の管…

  根拠法令: 個人情報の保護に関する法律第23条

• ✓正解済み✗まだ正解していませんQ58上級オプトアウトの制限・要配慮個人情報・不正取得

  第三者提供におけるオプトアウトを利用できない個人データとして、法第27条第2項ただし書が定めるものに含まれないものはどれか。

  →
  ▶答えと解説を先に見る

  解説: 法第27条第2項ただし書は、要配慮個人情報、法第20条第1項に違反して取得されたもの、他の個人情報取扱事業者から同項本文の規定により提供されたもの（その全部又は一部を複製し、又は加工したものを含む）についてオプトアウトを利用できないと定めています。本人が公開している情報であること…

  根拠法令: 個人情報の保護に関する法律第27条第2項

• ✓正解済み✗まだ正解していませんQ59中級外的環境の把握・外国のサーバ・公表

  個人データの安全管理措置における「外的環境の把握」が必要となる場面として、最も適切なものはどれか。

  →
  ▶答えと解説を先に見る

  解説: ガイドライン別添は「外的環境の把握」として、外国において個人データを取り扱う場合に、当該外国の個人情報の保護に関する制度等を把握したうえで安全管理措置を講じなければならないとしています。外国のクラウドサーバへの保存や外国の委託先での取扱いが典型で、その旨と当該外国の名称は法第32…

  根拠法令: 個人情報の保護に関する法律第32条第1項

• ✓正解済み✗まだ正解していませんQ60上級報告対象事態・1,000人超・本人の数

  漏えい等の報告対象事態のうち「本人の数が1,000人を超える」ものについて、正しいものはどれか。

  →
  ▶答えと解説を先に見る

  解説: 個人情報保護法施行規則第7条第4号は「個人データに係る本人の数が千人を超える漏えい等が発生し、又は発生したおそれがある事態」を報告対象と定めています。基準は記録の件数ではなく本人の数であり、「超える」とされているため1,000人ちょうどは含まれません。他の3類型は人数を問わず対象…

  根拠法令: 個人情報の保護に関する法律第26条第1項

• ✓正解済み✗まだ正解していませんQ61中級委託先の監督・実施状況の確認・定期的な監査

  委託先の監督において、委託元が定期的に確認すべき事項として最も適切なものはどれか。

  →
  ▶答えと解説を先に見る

  解説: ガイドライン（通則編）は、委託先における個人データ取扱状況の把握として、定期的に監査を行う等により、委託契約で定めた内容の実施の程度を調査したうえで、委託内容等の見直しを検討することを含め、適切に評価することが望ましいとしています。契約で定めた措置が実際に機能しているかの確認が中…

  根拠法令: 個人情報の保護に関する法律第25条

• ✓正解済み✗まだ正解していませんQ62上級個人関連情報・想定される・一般人の認識

  個人関連情報を提供する場合において、提供先が個人データとして取得することが「想定される」場合の意義について、正しいものはどれか。

  →
  ▶答えと解説を先に見る

  解説: ガイドライン（通則編）は、法第31条第1項の「想定される」について、提供元の個人関連情報取扱事業者において現に想定している場合のほか、一般人の認識を基準として通常想定できる場合が含まれるとしています。提供元が意図的に確認を怠ることで規律を免れることを防ぐ趣旨です。

  根拠法令: 個人情報の保護に関する法律第31条第1項

• ✓正解済み✗まだ正解していませんQ63中級段階的な対応・勧告・命令・罰則の構造

  個人データの安全管理措置に違反した場合の委員会の対応について、正しいものはどれか。

  →
  ▶答えと解説を先に見る

  解説: 法第147条は指導及び助言、法第148条第1項は勧告、同条第2項及び第3項は命令を定めています。法第178条は命令に違反した者に対する罰則を定めており、義務違反から直ちに刑事罰が科されるのではなく、命令を経る構造です。ただし法第179条のデータベース提供罪のように、行為そのものが…

  根拠法令: 個人情報の保護に関する法律第148条

• ✓正解済み✗まだ正解していませんQ64上級共同利用・要件・第三者提供との関係

  個人データの取扱いを複数の事業者が共同して行う場合の整理について、正しいものはどれか。

  →
  ▶答えと解説を先に見る

  解説: 法第27条第5項第3号は、特定の者との間で共同して利用される個人データが当該特定の者に提供される場合であって、共同利用する旨、共同して利用される個人データの項目、共同して利用する者の範囲、利用する者の利用目的、管理について責任を有する者の氏名等をあらかじめ本人に通知し、又は本人が…

  根拠法令: 個人情報の保護に関する法律第27条第5項第3号

• ✓正解済み✗まだ正解していませんQ65中級安全管理措置の検討・取扱状況の把握・リスクベース

  個人データの安全管理措置を検討する出発点として、最も適切なものはどれか。

  →
  ▶答えと解説を先に見る

  解説: ガイドライン別添は、安全管理措置の具体的な手法を、取り扱う個人データの性質及び量を含む取扱状況等に起因するリスクに応じて必要かつ適切な内容とすべきとしています。何をどれだけどこで扱っているかを把握しなければリスクを評価できないため、取扱状況の把握（組織的安全管理措置（3）の台帳整…

  根拠法令: 個人情報の保護に関する法律第23条