個人データに関する義務

正解: 4. 漏えい等の再発防止のための措置

解説: 施行規則第10条は、本人に通知すべき事項を、第8条第1項の報告事項のうち第1号（概要）、第2号（漏えい等が発生し、又は発生したおそれがある個人データの項目）、第4号（原因）、第5号（二次被害又はそのおそれの有無及びその内容）及び第9号（その他参考となる事項）としており、ガイドライ…

根拠・参照資料: 個人情報の保護に関する法律第26条第1項・第2項、個人情報の保護に関する法律施行規則第8条第1項、第10条（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」3-5-4-3）

関連キーワード: 漏えい等の報告事項・本人への通知・二次被害・再発防止のための措置・個人情報保護委員会

正解: 2. 委託を受けて個人データを取り扱う者は、中小規模事業者に当たらない

解説: 通則編ガイドライン別添（10）※2は、「中小規模事業者」を従業員の数が100人以下の個人情報取扱事業者としたうえで、事業の用に供する個人情報データベース等を構成する個人情報によって識別される特定の個人の数の合計が過去6月以内のいずれかの日において5,000を超える者と、委託を受け…

根拠・参照資料: 個人情報の保護に関する法律第23条

関連キーワード: 中小規模事業者・安全管理措置・技術的安全管理措置・手法の例示

正解: 1. 提供先が、我が国と同等の水準にあると認められる個人情報保護制度を有している国として規則で定める国にある場合

解説: 法第28条第1項の同等水準国の除外に該当する場合には、同項に基づく外国提供を認める旨の本人同意は不要です。ただし、法第27条に従い、本人の同意、同条第1項各号の例外、オプトアウト又は委託・事業承継・共同利用等の適法な提供根拠が必要です。基準適合体制を整備した外国の第三者についても…

根拠・参照資料: 個人情報の保護に関する法律第28条第1項

関連キーワード: 外国にある第三者・同等水準国・体制整備・個人情報の保護に関する法律第28条

正解: 3. 情報提供の方法として、必要な情報を本人に口頭で説明する方法も挙げられている

解説: ガイドライン（外国にある第三者への提供編）5-1は、施行規則第17条第1項の「その他の適切な方法」に当たる事例として、必要な情報を本人に口頭で説明する方法を挙げており、3が正しいものです。1：同条第2項が定める提供すべき情報は、外国の名称、適切かつ合理的な方法により得られた当該外…

根拠・参照資料: 個人情報の保護に関する法律第28条第2項、個人情報の保護に関する法律施行規則第17条

関連キーワード: 外国にある第三者・本人の同意・情報提供・外国の名称

正解: 2. 当該第三者が本人の同意を得ていること及び外国にある第三者への提供の場合は所定の情報提供が行われていること

解説: 法第31条第1項は、個人関連情報を第三者に提供する場合において、当該第三者が個人データとして取得することが想定されるときは、①当該本人の同意が得られていること、②外国にある第三者への提供にあっては、本人に対して法第28条第2項に相当する情報が提供されていること、を確認しないで提供…

根拠・参照資料: 個人情報の保護に関する法律第31条第1項

関連キーワード: 個人関連情報・同意取得の確認・越境移転時の情報提供・個人情報の保護に関する法律第31条

正解: 1. 提供先の第三者の氏名又は名称

解説: 法第27条第2項各号は、オプトアウトの届出事項として、①提供を行う事業者の氏名又は名称及び住所並びに法人にあっては代表者の氏名、②第三者への提供を利用目的とすること、③提供される個人データの項目、④取得の方法、⑤提供の方法、⑥本人の求めに応じて提供を停止すること、⑦本人の求めを受…

根拠・参照資料: 個人情報の保護に関する法律第27条第2項

関連キーワード: オプトアウト届出事項・取得の方法・提供の方法・個人情報の保護に関する法律第27条第2項

正解: 4. 委託先は、委託された業務の範囲内でのみ取り扱うことができ、自社の目的で利用することはできない

解説: 法第27条第5項第1号により、委託に伴う提供は第三者提供に当たらないとされますが、これは委託元の利用目的の達成に必要な範囲内で取り扱われることが前提です。ガイドライン（通則編）は、委託先が委託された業務以外に個人データを取り扱うことは認められないとしています。委託先が自社の目的で…

根拠・参照資料: 個人情報の保護に関する法律第27条第5項第1号

関連キーワード: 委託・業務の範囲内・目的外利用の禁止・個人情報の保護に関する法律第27条第5項

正解: 4. 従業者に関する人的安全管理措置の手法の例示は、中小規模事業者についても同じ内容とされている

解説: 通則編ガイドライン別添（10）の人的安全管理措置では、講じなければならない措置「従業者の教育」の手法の例示（定期的な研修等、秘密保持に関する事項の就業規則等への盛り込み）について、中小規模事業者における手法の例示も「同左」とされ、同じ内容です。よって4が正しいです。1：法第179…

根拠・参照資料: 個人情報の保護に関する法律第23条、第24条、第179条

関連キーワード: 人的安全管理措置・従業者の教育・中小規模事業者・個人情報データベース等不正提供罪

正解: 3. オプトアウトにより提供を受けた場合は、法第27条第4項の規定により公表されている旨も記録しなければならない

解説: 施行規則第24条第1項第1号は、個人情報取扱事業者からオプトアウト（法第27条第2項）による提供を受けた場合の記録事項として、提供を受けた年月日、法第30条第1項各号の事項（提供者の氏名等と取得の経緯）、本人を特定するに足りる事項、個人データの項目に加え、「法第27条第4項の規定…

根拠・参照資料: 個人情報の保護に関する法律第30条第3項、個人情報の保護に関する法律施行規則第24条

関連キーワード: 記録事項・オプトアウト・取得の経緯・個人情報取扱事業者

正解: 1. 不正行為の相手方には、事業者が個人データを取り扱うに当たって利用しているサービスを提供する第三者も含まれる

解説: 通則編ガイドライン3-5-3-1は、規則第7条第3号の「不正の目的をもって行われたおそれがある当該個人情報取扱事業者に対する行為」（不正行為）の相手方には、委託先のほか、事業者が個人データを取り扱うに当たって利用しているサービスを提供する第三者も含まれるとしています。よって1が正…

根拠・参照資料: 個人情報の保護に関する法律第26条第1項、個人情報の保護に関する法律施行規則第7条

関連キーワード: 漏えい等の報告・報告対象・高度な暗号化・ランサムウェア

正解: 4. 個人データ

解説: 法第22条（データ内容の正確性の確保等）は、個人情報取扱事業者は、利用目的の達成に必要な範囲内において「個人データを正確かつ最新の内容に保つ」とともに、利用する必要がなくなったときは「当該個人データを遅滞なく消去する」よう努めなければならないと定めており、条文が対象として掲げる語…

根拠・参照資料: 個人情報の保護に関する法律第22条

関連キーワード: データ内容の正確性の確保・正確かつ最新の内容・利用目的の達成に必要な範囲内・保有個人データ・個人情報データベース等

正解: 2. 利用する必要がなくなったときの消去を定める法第22条は、法第148条第1項による勧告の対象となる規定に含まれない

解説: 法第22条は、利用する必要がなくなった個人データを遅滞なく消去するよう「努めなければならない」とする努力義務で、法第148条第1項が勧告の対象として列挙する規定に第22条は含まれていません。よって2が正しいです。1：通則編ガイドライン3-4-1の事例は、懸賞品の発送が終わり、不着…

根拠・参照資料: 個人情報の保護に関する法律第22条、第148条第1項

関連キーワード: 利用する必要がなくなったとき・消去・保存期間・努力義務

正解: 2. 本人から個人データを取得する業務を他の事業者に行わせることも、契約の形態や種類を問わず、個人データの取扱いの委託に当たる。

解説: 通則編ガイドライン3-4-4（※1）は、「個人データの取扱いの委託」を、契約の形態・種類を問わず、他の者に個人データの取扱いを行わせることとし、入力（本人からの取得を含む。）、編集、分析、出力等の処理を委託することを想定しているので、2が正しく、3は誤りです。1は誤りで、事業者の…

根拠・参照資料: 個人情報の保護に関する法律第24条、第25条

関連キーワード: 個人データの取扱いの委託・委託先・再委託・指揮監督・委託契約

正解: 1. 当該第三者に継続的に提供することが確実と見込まれるときは、記録を一括して作成できる

解説: 施行規則第19条（第三者提供に係る記録の作成）第2項は、記録は提供の都度、速やかに作成しなければならないとしつつ、当該第三者に継続的に若しくは反復して提供したとき、又はそのように提供することが確実であると見込まれるときは、記録を一括して作成することができるとしています（オプトアウ…

根拠・参照資料: 個人情報の保護に関する法律第29条第1項、個人情報の保護に関する法律施行規則第19条

関連キーワード: 第三者提供に係る記録・一括して作成・契約書・マイクロフィルム

正解: 3. 当該個人データを提供した年月日

解説: 施行規則第20条第1項第2号は、本人の同意（法第27条第1項又は第28条第1項）に基づいて個人データを第三者に提供した場合の記録事項を、本人の同意を得ている旨と、同項第1号ロからニまでの事項（当該第三者の氏名又は名称及び住所等、本人を特定するに足りる事項、個人データの項目）として…

根拠・参照資料: 個人情報の保護に関する法律第29条第1項、個人情報の保護に関する法律施行規則第20条

関連キーワード: 記録事項・本人の同意・オプトアウト・提供元

正解: 2. 同じ提供元から再度提供を受ける際、既に確認し記録を作成・保存している事項は、内容が同一であることを確認する方法による。

解説: 施行規則第22条第3項は、既に同条第1項・第2項の方法で確認し、その記録の作成・保存をしている事項については、その内容と今回の提供に係る事項の内容が同一であることの確認を行う方法によると定めており、2が正しいものです。1は誤りで、法人の提供元について確認するのは、名称及び住所並び…

根拠・参照資料: 個人情報の保護に関する法律第30条第1項・第2項、第185条、個人情報の保護に関する法律施行規則第22条、第23条

関連キーワード: 提供を受ける際の確認・法第30条・施行規則・代表者の氏名・過料

正解: 4. 事態を知った日を1日目として数え、土日・祝日も日数に算入する。

解説: ガイドライン（通則編）3-5-3-4は、確報の報告期限の起算点となる「知った」時点について、法人ではいずれかの部署が当該事態を知った時点を基準とし、報告期限の算定に当たってはその時点を1日目とするとしています。また、報告期限の算定には土日・祝日も含めるとしています（30日目又は6…

根拠・参照資料: 個人情報の保護に関する法律第26条第1項、個人情報の保護に関する法律施行規則第8条第2項

関連キーワード: 確報・報告期限・起算点・施行規則第8条

正解: 3. C&Cサーバが使用するものとして知られているIPアドレスへの通信が確認された場合は、漏えいのおそれがある事態に当たり得る例とされている。

解説: ガイドライン（通則編）3-5-3-1の注は、サイバー攻撃の事案で漏えいが発生したおそれがある事態に該当し得る例として、C&Cサーバが使用しているものとして知られているIPアドレス・FQDNへの通信が確認された場合を挙げており、3が正しいものです。1は誤りで、不正アクセスについて例…

根拠・参照資料: 個人情報の保護に関する法律第26条第1項・第2項、個人情報の保護に関する法律施行規則第7条

関連キーワード: おそれ・報告対象事態・不正アクセス・本人への通知

正解: 1. 法第24条の監督は、従業者に法第23条に基づく安全管理措置を遵守させるよう行うものとされている。

解説: ガイドライン（通則編）3-4-3は、事業者は従業者に個人データを取り扱わせるに当たって、法第23条に基づく安全管理措置を遵守させるよう、必要かつ適切な監督をしなければならないとしています。2は誤りで、「従業者」は事業者の組織内にあって直接間接に事業者の指揮監督を受けて業務に従事し…

根拠・参照資料: 個人情報の保護に関する法律第24条

関連キーワード: 従業者の監督・法第24条・安全管理措置・派遣社員・規程

正解: 1. 個人関連情報取扱事業者は、確認を行ったときは、規則で定めるところにより記録を作成し、保存しなければならない

解説: 法第31条第3項は、法第30条第3項及び第4項の規定を個人関連情報取扱事業者について準用しており、確認を行ったときは記録を作成し、一定期間保存しなければなりません。個人関連情報は単体では個人を識別できないものの、提供先で個人データとなる場合には本人の権利利益に影響するため、追跡可…

根拠・参照資料: 個人情報の保護に関する法律第31条第3項

関連キーワード: 個人関連情報・記録義務・準用・個人情報の保護に関する法律第31条第3項

正解: 3. 個人データの取扱いを委託している場合に委託先で報告対象事態が生じたときは、原則として、委託元と委託先の双方が委員会への報告義務を負う。

解説: 通則編ガイドライン3-5-3-2は、個人データの取扱いを委託している場合、委託元と委託先の双方が個人データを取り扱っていることになるため、報告対象事態に該当するときは、原則として双方が報告義務を負い、連名で報告することもできるとしており、3が正しいものです。4は誤りで、委託先は、…

根拠・参照資料: 個人情報の保護に関する法律第26条第1項、個人情報の保護に関する法律施行規則第9条

関連キーワード: 委託元・委託先・報告対象事態・規則第9条・報告義務

正解: 2. 提供される個人データの更新の方法

解説: 法第27条第3項は、同条第2項第3号から第5号まで、第7号又は第8号に掲げる事項を変更しようとするときはあらかじめ、第1号の事項（事業者の氏名又は名称、住所、法人の代表者の氏名）に変更があったとき又は提供をやめたときは遅滞なく、本人に通知等をし、委員会に届け出るとしています。第8…

根拠・参照資料: 個人情報の保護に関する法律第27条第2項・第3項、個人情報の保護に関する法律施行規則第11条第4項

関連キーワード: オプトアウト・法第27条第3項・届出・遅滞なく

正解: 4. 中小規模事業者も、その他の個人情報取扱事業者と同様に、法第23条の安全管理措置を講じなければならないとされている。

解説: ガイドライン（通則編）別添は、中小規模事業者についても、その他の個人情報取扱事業者と同様に、法第23条に定める安全管理措置を講じなければならないとし、そのうえで円滑に義務を履行し得るような手法の例を示すとしています。1は誤りで、法第23条の対象は個人データであり、個人関連情報は含…

根拠・参照資料: 個人情報の保護に関する法律第23条

関連キーワード: 安全管理措置・法第23条・別添・個人関連情報

正解: 2. 院内で紛失し、院外に持ち出された形跡はないが、同じ内容の記録がほかにない場合

解説: 規則第7条第1号は、要配慮個人情報が含まれる個人データの漏えい、滅失又は毀損（漏えい等）を、本人の数にかかわらず報告対象としています。診療情報は要配慮個人情報で、ガイドライン（通則編）3-5-1-3は書類等を社内で紛失した場合を滅失の事例とし、3-5-3-1も患者の診療情報を含む…

根拠・参照資料: 個人情報の保護に関する法律第26条第1項、個人情報の保護に関する法律施行規則第7条第1号

関連キーワード: 報告対象・滅失・漏えい・要配慮個人情報

正解: 1. 60日以内

解説: 個人情報保護法施行規則第8条第2項は、確報について、原則として報告対象事態を知った日から30日以内としつつ、規則第7条第3号に定める事態（不正の目的をもって行われたおそれがある個人データの漏えい等）については60日以内と定めています。攻撃の全容解明に時間を要することを踏まえた期間…

根拠・参照資料: 個人情報の保護に関する法律第26条第1項

関連キーワード: 確報・60日以内・不正の目的・個人情報の保護に関する法律第26条

正解: 3. 個人情報保護委員会は、届出があったときは、規則で定めるところにより当該届出に係る事項を公表しなければならない

解説: 法第27条第4項は「個人情報保護委員会は、第二項の規定による届出があったときは、個人情報保護委員会規則で定めるところにより、当該届出に係る事項を公表しなければならない。前項の規定による届出があったときも、同様とする」と定めています。委員会のウェブサイトでオプトアウト届出事業者の一…

根拠・参照資料: 個人情報の保護に関する法律第27条第4項

関連キーワード: オプトアウト・委員会による公表・個人情報の保護に関する法律第27条第4項

正解: 1. 委託は委託元の利用目的の範囲内での取扱いであり第三者提供に当たらないが、委託先の監督義務が生じる

解説: 法第27条第5項第1号により、利用目的の達成に必要な範囲内での委託に伴う提供は第三者提供に当たらず、本人の同意は不要です。その代わりに法第25条の委託先の監督義務が生じます。これに対し第三者提供は原則として本人の同意が必要であり、提供後の相手方の取扱いについて監督義務は課されませ…

根拠・参照資料: 個人情報の保護に関する法律第27条第5項第1号

関連キーワード: 委託と第三者提供・同意の要否・監督義務・個人情報の保護に関する法律第27条第5項

正解: 4. 責任を有する者とは、共同利用者全体の中で、第一次的に苦情の受付・処理や開示・訂正等を行う権限を持つ者をいう。

解説: ガイドライン（通則編）3-6-3(3)は、「個人データの管理について責任を有する者」を、共同して利用する全ての事業者の中で、第一次的に苦情の受付・処理、開示・訂正等を行う権限を有する者をいい、一事業者の内部の担当責任者をいうものではないとしています。1は誤りで、あらかじめ本人に通…

根拠・参照資料: 個人情報の保護に関する法律第27条第5項第3号・第6項

関連キーワード: 共同利用・責任を有する者・法第27条第6項・努力義務

正解: 3. 保健所が行う積極的疫学調査に対応して、個人データを提供する場合

解説: ガイドライン3-6-1は第三者提供の例外（1）～（4）の事例を3-1-5に委ねており、3-1-5（1）は「法令に基づく場合」の事例として、保健所が行う積極的疫学調査への対応（感染症法第15条第1項）を挙げています（肢3）。一般統計調査への回答は、国の機関等が法令の定める事務を遂行…

根拠・参照資料: 個人情報の保護に関する法律第27条第1項第1号～第4号（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」3-1-5、3-6-1）

関連キーワード: 第三者提供・法令に基づく場合・積極的疫学調査・一般統計調査

正解: 2. 速報では、本人の数が確定していなくても、報告しようとする時点で把握している内容を報告すれば足りるとされる。

解説: 施行規則第8条第1項は、速報で報告する事項を報告をしようとする時点において把握しているものとし、ガイドライン（通則編）3-5-3-3も、速報時点では把握している内容を報告すれば足りるとしているので、2が正しいものです。1は誤りで、本人の数が確定できない漏えい等では、漏えい等が発生…

根拠・参照資料: 個人情報の保護に関する法律第26条第1項、個人情報の保護に関する法律施行規則第7条第4号・第8条

関連キーワード: 速報・確報・本人の数・規則第7条第4号

正解: 4. 委託元が法第23条の水準を超える措置を講じていても、委託先は同条が求める水準の措置を講じれば足りる

解説: ガイドライン（通則編）3-4-4の（※2）は、委託元が法第23条が求める水準を超える高い水準の安全管理措置を講じている場合に、委託先にも同等の措置を求める趣旨ではなく、法律上、委託先は同条が求める水準の安全管理措置を講じれば足りると解されるとしており、4が正しいものです。1は誤り…

根拠・参照資料: 個人情報の保護に関する法律第23条、第25条

関連キーワード: 委託先の監督・安全管理措置・中小規模事業者・法第23条

正解: 4. SNSの運営事業者が、利用者が閲覧できる相手を指定して書き込んだ情報を、その相手に閲覧させている場合

解説: ガイドライン（通則編）3-6-1の（※2）は、SNSに書き込まれた個人データを含む情報は、書き込んだ者の明確な意思で公開され、誰が閲覧できるかを書き込んだ者が指定しており、運営事業者に公開範囲の裁量の余地はないため、運営事業者が個人データを第三者に提供しているとは解されないとして…

根拠・参照資料: 個人情報の保護に関する法律第27条第1項

関連キーワード: 第三者提供・本人の同意・グループ会社・法第27条第1項

正解: 4. 契約書その他の書面で記録に代えた場合の保存期間は、最後に当該記録に係る提供を行った日から起算して1年を経過する日までの間である。

解説: 施行規則第19条第3項は、本人に対する物品又は役務の提供に関連して個人データを第三者に提供した場合に、その提供に関して作成された契約書その他の書面に記録事項が記載されているときは、当該書面をもって記録に代えることができるとし、規則第21条第1号は、その保存期間を、最後に当該記録に…

根拠・参照資料: 個人情報の保護に関する法律第29条第2項、個人情報の保護に関する法律施行規則第19条・第21条

関連キーワード: 第三者提供の記録・保存期間・法第29条・オプトアウト・一括して作成

正解: 2. 委託先が委託元に所定の事項を通知したときは、委託先は本人への通知義務についても免除される。

解説: 法第26条第2項は、報告対象事態が生じたときは、個人情報取扱事業者（同条第1項ただし書の通知をした者を除く。）が本人に通知しなければならないと定めています。ガイドライン（通則編）3-5-4-1は、委託の場合は原則として委託元と委託先の双方が本人への通知義務を負うが、委託先が委託元…

根拠・参照資料: 個人情報の保護に関する法律第26条第2項、個人情報の保護に関する法律施行規則第10条

関連キーワード: 本人への通知・委託先・代替措置・法第26条第2項

正解: 1. 個人データの漏えい等の防止その他の安全管理のため、個人データの具体的な取扱いに係る規律を整備すること

解説: 別添の「個人データの取扱いに係る規律の整備」は、個人データの漏えい等の防止その他の安全管理のために、個人データの具体的な取扱いに係る規律を整備「しなければならない」としています（法第23条）。2の基本方針の策定は「重要である」とされるにとどまります。3について、組織的安全管理措置…

根拠・参照資料: 個人情報の保護に関する法律第23条

関連キーワード: 安全管理措置・規律の整備・基本方針・組織的安全管理措置

正解: 3. 法第28条第1項は法第27条第1項各号に該当する場合を除外しており、法令に基づく場合等は本人の同意なく提供できる

解説: 法第28条第1項は、法第27条第1項各号に該当する場合を同意要件の例外としているため、肢3が正しいといえます。一方、法第28条第1項の外国提供同意により提供する場合は、同項後段により法第27条は適用されません。同等水準国や基準適合体制により外国提供同意の対象から外れる場合は、法第…

根拠・参照資料: 個人情報の保護に関する法律第28条第1項

関連キーワード: 外国にある第三者・法第27条各号の除外・個人情報の保護に関する法律第28条

正解: 1. 技術的安全管理措置は、インターネット等を通じて外部と送受信しない社内のパソコンだけで個人データを取り扱う場合にも、講じなければならない措置とされている。

解説: 別添の技術的安全管理措置は、情報システム（パソコン等の機器を含む。）を使用して個人データを取り扱う場合（インターネット等を通じて外部と送受信等する場合を含む。）に講じなければならない措置とされ、外部と通信しないパソコンでの取扱いも対象です（法第23条）。2は誤りで、「持ち運ぶ」は…

根拠・参照資料: 個人情報の保護に関する法律第23条

関連キーワード: 技術的安全管理措置・物理的安全管理措置・中小規模事業者・委託先

正解: 4. 本人が公開している情報

解説: 法第27条第2項ただし書は、要配慮個人情報、法第20条第1項に違反して取得されたもの、他の個人情報取扱事業者から同項本文の規定により提供されたもの（その全部又は一部を複製し、又は加工したものを含む）についてオプトアウトを利用できないと定めています。本人が公開している情報であること…

根拠・参照資料: 個人情報の保護に関する法律第27条第2項

関連キーワード: オプトアウトの制限・要配慮個人情報・不正取得・個人情報の保護に関する法律第27条第2項

正解: 3. 外国において個人データを取り扱う場合に、当該外国の個人情報の保護に関する制度等を把握した上で、安全管理措置を講じること

解説: 別添は、外国において個人データを取り扱う場合、当該外国の個人情報の保護に関する制度等を把握した上で、個人データの安全管理のために必要かつ適切な措置を講じなければならないとし、これを「外的環境の把握」としています（法第23条）。1は物理的安全管理措置の取扱区域の管理（間仕切り等の設…

根拠・参照資料: 個人情報の保護に関する法律第23条

関連キーワード: 外的環境の把握・安全管理措置・外国・物理的安全管理措置

正解: 2. 報告の対象となるのは、本人の数が1,000人を超える漏えい等が発生し、又は発生したおそれがある事態である。

解説: 施行規則第7条第4号は、個人データに係る本人の数が千人を超える漏えい等が発生し、又は発生したおそれがある事態を報告対象事態としています（法第26条第1項）。500人、5,000人、10,000人という基準は定められていません。5,000という数は、別添の中小規模事業者の定義（識別…

根拠・参照資料: 個人情報の保護に関する法律第26条第1項、個人情報の保護に関する法律施行規則第7条第4号

関連キーワード: 報告対象事態・本人の数・施行規則第7条・中小規模事業者

正解: 2. 評価することが望ましいとされている

解説: ガイドライン（通則編）3-4-4は、委託元はリスクに応じて（1）適切な委託先の選定、（2）委託契約の締結、（3）委託先における個人データ取扱状況の把握の措置を講じなければならないとしたうえで、（3）について、定期的に監査を行う等により委託契約で盛り込んだ内容の実施の程度を調査し、…

根拠・参照資料: 個人情報の保護に関する法律第25条

関連キーワード: 委託先の監督・取扱状況の把握・監査・委託契約

正解: 1. 提供元が現に想定している場合のほか、一般人の認識を基準として通常想定できる場合を含む

解説: ガイドライン（通則編）は、法第31条第1項の「想定される」について、提供元の個人関連情報取扱事業者において現に想定している場合のほか、一般人の認識を基準として通常想定できる場合が含まれるとしています。提供元が意図的に確認を怠ることで規律を免れることを防ぐ趣旨です。ここでいう一般人…

根拠・参照資料: 個人情報の保護に関する法律第31条第1項

関連キーワード: 個人関連情報・想定される・一般人の認識・個人情報の保護に関する法律第31条

正解: 4. 命令違反について法人に科される罰金の上限は、1億円とされている。

解説: 法第184条第1項第1号は、法人の従業者等が業務に関して命令違反（法第178条）をしたときは、行為者を罰するほか、法人に1億円以下の罰金刑を科すとしています（行為者は1年以下の拘禁刑又は100万円以下の罰金）。1は誤りで、法第148条第3項は第23条から第26条までの違反も緊急命…

根拠・参照資料: 個人情報の保護に関する法律第147条、第148条、第178条、第184条

関連キーワード: 勧告・緊急命令・罰則・法第148条

正解: 3. 共同利用の要件を満たせば第三者提供に当たらないが、要件を満たさなければ本人の同意等が必要となる

解説: 法第27条第5項第3号は、特定の者との間で共同して利用される個人データが当該特定の者に提供される場合であって、共同利用する旨、共同して利用される個人データの項目、共同して利用する者の範囲、利用する者の利用目的、管理について責任を有する者の氏名等をあらかじめ本人に通知し、又は本人が…

根拠・参照資料: 個人情報の保護に関する法律第27条第5項第3号

関連キーワード: 共同利用・要件・第三者提供との関係・個人情報の保護に関する法律第27条第5項

正解: 4. 組織体制の整備

解説: 別添の組織的安全管理措置は、（1）組織体制の整備、（2）個人データの取扱いに係る規律に従った運用、（3）個人データの取扱状況を確認する手段の整備、（4）漏えい等事案に対応する体制の整備、（5）取扱状況の把握及び安全管理措置の見直しを、講じなければならない措置としています（法第23…

根拠・参照資料: 個人情報の保護に関する法律第23条

関連キーワード: 組織的安全管理措置・組織体制の整備・報告連絡体制・取扱状況