貸金業者Aは、新規に借入れを申し込んできた個人顧客Bの返済能力を調査するに当たり、Bの病歴に関する情報を、Bの同意を得ないまま取得した。この行為に関する説明として最も適切なものはどれか。

• A病歴は貸金業者の返済能力調査に通常必要な情報であるため、本人の同意なく取得しても個人情報保護法上問題はない。
• B病歴は個人情報保護法上の「個人データ」には該当しないため、取得について本人の同意は不要である。
• ✓病歴は要配慮個人情報に該当し、法令に定める場合を除き、あらかじめ本人の同意を得ないで取得することは禁止されているため、Aの行為は個人情報保護法に違反するおそれがある。
• D病歴の取得自体には本人の同意は不要であり、第三者に提供する場合にのみ本人の同意が必要となる。