個人情報保護法とは（全体像）
個人情報保護法は、個人情報を、本人が安心できる形で正しく扱うためのルールを定めた法律。会社などが個人の情報を集めて使うとき、勝手な使い方や漏えいを防ぐために守るべきことを決めている。情報を扱う会社を個人情報取扱事業者と呼ぶ。
まず、扱う情報の種類を区別する。
- 個人情報 … 生きている個人を特定できる情報（氏名、生年月日など。組み合わせで特定できるものも含む）。
- 要配慮個人情報 … その中でも特に慎重に扱うべき情報（人種・信条・病歴・犯罪歴など）。差別などにつながりやすいので、取得には原則として本人の同意が必要。
この「ふつうの個人情報」と「特に慎重な要配慮個人情報」の区別が、まず押さえどころ。
詳しく：事業者の義務と匿名加工情報
ここが心臓部。まず事業者の主な義務を表で押さえる。
個人情報取扱事業者の主な義務
| 義務 | 何をする | かみくだくと |
|---|---|---|
| 利用目的の特定 | 何に使うか目的を決めて知らせる | 「何のために集めるか」を明らかにする |
| 第三者提供の制限 | 本人の同意なく外部に渡さない | 勝手に他社へ渡してはいけない |
| 安全管理措置 | 漏えいを防ぐ管理をする | 鍵をかけて大切に守る |
①利用目的の特定＝集めた情報を「何のために使うか」を決め、本人に分かるようにする。決めた目的の外で勝手に使ってはいけない。
②第三者提供の制限＝集めた情報を、本人の同意なく他社など第三者に渡してはいけない（原則）。
③安全管理措置＝情報が漏れたり盗まれたりしないよう、技術と組織の両面で守る。
そして、活用のために大事なのが匿名加工情報。
匿名加工情報
| 項目 | 内容 |
|---|---|
| 何か | 特定の個人を識別できないように加工し、元に戻せないようにした情報 |
| メリット | 一定のルールのもとで、本人の同意なしでも活用できる |
匿名加工情報は、「誰の情報か分からないように加工し、元に戻せないようにした情報」。個人を特定できないので、決められたルールを守れば本人の同意なしでもデータ活用に使える。「すべての個人情報は同意がないと一切使えない」と思うのは誤りで、こうした加工をすれば活用の道がある。
なお、個人情報保護法は2022年の改正で強化され、漏えいが起きたときの報告などの対応が厳しくなった。具体的な内容は受験する年度の最新情報で確認しておきたい。
わかりやすく言い換えると
要するに、個人情報保護法は「人の情報を“勝手に・雑に”扱わないための約束ごと」だとイメージするとラク。
つまり、①何に使うか先に決める（利用目的）、②本人に断りなく他人へ渡さない（第三者提供の制限）、③漏れないよう大切に守る（安全管理）。この3つが事業者の基本の務め。
そして、病歴や人種のような特にデリケートな情報（要配慮個人情報）はより慎重に、逆に誰の情報か分からないよう加工したもの（匿名加工情報）は同意なしでも活用できる——この強弱の使い分けが覚えどころ。
試験のツボ
🔴 一番出る：個人情報と要配慮個人情報
①個人情報＝生きている個人を特定できる情報（氏名など）
②要配慮個人情報＝病歴・人種・信条など特に慎重に扱う情報（取得は原則同意が必要）
🔴 次に出る：事業者の主な義務
①利用目的の特定／②第三者提供の制限（同意なく渡さない）／③安全管理措置
🟡 押さえると安定：匿名加工情報
特定の個人を識別できないよう加工し元に戻せないようにした情報は、一定のルールで本人同意なしでも活用できる。
よくある間違い
①「要配慮個人情報も、ふつうの個人情報と同じ軽い扱いでよい」→ ✗ 病歴や人種などの要配慮個人情報は、より慎重に扱う（取得は原則同意が必要）。
②「集めた個人情報は、本人の同意なく自由に他社へ渡してよい」→ ✗ 第三者提供は制限され、原則として本人の同意が必要。
③「個人情報はどんな形にしても、本人同意がなければ一切活用できない」→ ✗ 匿名加工情報（特定できないよう加工）なら、一定のルールで同意なしでも活用できる。
試験での出題パターン
実際の問題でたしかめてみよう。
オリジナル問題1（要配慮個人情報）
個人情報に関する次の記述のうち、正しいものはどれか。
- 要配慮個人情報とは公開済みの会社名のことで、ふつうの個人情報より軽く扱ってよいものとされる
- 個人情報とは亡くなった人の情報だけを指し、生きている個人の情報は含まれないものとされている
- 個人情報も要配慮個人情報も法律上はまったく同じ扱いで、慎重さに差をつけないものとされている
- 要配慮個人情報は病歴や人種など特に慎重に扱う情報で、取得には原則として本人同意が必要である
解答は 4 だ、わが子よ。
要配慮個人情報は、病歴・人種・信条など特に慎重に扱うべき情報で、取得には原則として本人の同意が必要である。ふつうの個人情報より厳しく扱うのぞ。
選択肢1は「公開済みの会社名」が誤り、選択肢2は「亡くなった人だけ」が誤り（個人情報は生きている個人が対象）、選択肢3は「差をつけない」が誤りである。
| 選択肢 | 判定 | 理由 |
|---|---|---|
| 1 | ✗ | 会社名のことではなく軽く扱ってよくもない |
| 2 | ✗ | 個人情報は生きている個人が対象 |
| 3 | ✗ | 要配慮個人情報はより慎重に扱う |
| 4 | ✓ | 特に慎重に扱い取得は原則同意が必要で正しい |
オリジナル問題2（事業者の義務）
個人情報取扱事業者の義務に関する次の記述のうち、正しいものはどれか。
- 事業者は利用目的を決める必要はなく、集めた個人情報をどんな目的にでも自由に使えるものとされる
- 事業者は利用目的を特定し、本人同意なく第三者に提供せず、漏えいを防ぐ安全管理をする義務がある
- 事業者は集めた個人情報を、本人に断ることなく自由に他社へ売ってよいものと法律で定められている
- 事業者には情報を守る義務はなく、漏えいが起きても何の対応も求められないものとされている
解答は 2 だ。
事業者は、利用目的を特定し、本人の同意なく第三者に提供せず、漏えいを防ぐ安全管理を行う義務がある。この3つが基本の務めぞ、わが子よ。
選択肢1は「目的を決めなくてよい」が誤り、選択肢3は「自由に他社へ売ってよい」が誤り、選択肢4は「守る義務はない」が誤りである。
| 選択肢 | 判定 | 理由 |
|---|---|---|
| 1 | ✗ | 利用目的の特定が必要 |
| 2 | ✓ | 利用目的特定・第三者提供制限・安全管理で正しい |
| 3 | ✗ | 同意なく自由に売ることはできない |
| 4 | ✗ | 漏えいを防ぐ安全管理の義務がある |
オリジナル問題3（匿名加工情報）
匿名加工情報に関する次の記述のうち、正しいものはどれか。
- 匿名加工情報は特定の個人を識別できないよう加工した情報で、一定のルールで同意なしでも活用できる
- 匿名加工情報とは、本人の氏名をそのまま残したうえで広く公開した情報のことを指すものとされている
- 匿名加工情報は加工してもすぐ元の個人に戻せる情報で、つねに本人を特定できるものとされている
- 匿名加工情報であっても、活用するには必ず一人ひとりの本人同意を得なければならないものとされる
解答は 1 だ、わが子よ。
匿名加工情報は、特定の個人を識別できないよう加工し元に戻せないようにした情報で、一定のルールを守れば本人の同意なしでも活用できる。データ活用の道を開くしくみぞ。
選択肢2は「氏名をそのまま残す」が誤り、選択肢3は「すぐ元に戻せる」が誤り、選択肢4は「必ず本人同意が必要」が誤りである。
| 選択肢 | 判定 | 理由 |
|---|---|---|
| 1 | ✓ | 識別できないよう加工し同意なしで活用でき正しい |
| 2 | ✗ | 氏名を残して公開した情報ではない |
| 3 | ✗ | 元に戻せないように加工した情報 |
| 4 | ✗ | 一定のルールで同意なしでも活用できる |
まとめ
押さえどころ
- 🔴 個人情報と要配慮個人情報 … 個人情報＝個人を特定できる情報。要配慮個人情報＝病歴・人種など特に慎重に扱う情報（取得は原則同意）。
- 🔴 事業者の主な義務 … 利用目的の特定・第三者提供の制限（同意なく渡さない）・安全管理措置。
- 🟡 匿名加工情報 … 特定できないよう加工し元に戻せない情報は、一定のルールで本人同意なしでも活用できる。
次に学ぶ
- AI規制・倫理（EU AI Act） ── 個人情報やプライバシーを守るルール作りは、AIの規制ともつながるテーマ。
- 生体認証（FAR・FRR） ── 指紋や顔などの生体情報も個人情報。安全に保存し慎重に扱う必要がある。
執筆: SikakuQuest編集部