全64問から、出題範囲の骨格が掴める21問だけを抜き出しました。まずはここだけ流して、必要なら全問へ進んでください。
全64問に進むこの21問の内容
出典: オリジナル想定問題（当サイト作成、実際の過去問ではありません）。個人情報保護法および個人情報保護委員会の公表資料に基づく（最終更新 2026-09-06）
個人情報取扱事業者が、氏名及びメールアドレスのみからなる100名分の個人データを誤送信により漏えいさせた。要配慮個人情報は含まれておらず、不正アクセス等の不正の目的による行為でもない場合、この事案への対応として正しいものはどれか。
- ✓漏えい人数が1000人を超えていないため、個人情報保護委員会への報告義務は生じない
- B要配慮個人情報を含むため、直ちに報告義務が生じる
- C個人データの漏えいである以上、人数にかかわらず常に報告義務が生じる
- Dメールアドレスの漏えいには財産的被害のおそれが定型的に認められるため報告義務が生じる
解説
報告対象となるのは、要配慮個人情報を含む場合、財産的被害のおそれがある場合、不正の目的による行為である場合、又は1000人を超える漏えいの場合のいずれかに該当するときであり、本事案はいずれにも該当しないため報告義務は生じない。
根拠個人情報保護法施行規則（漏えい等の報告対象事案の基準）／「漏えい等の対応（個人情報）」
個人情報保護法における「要配慮個人情報」の定義として最も適切なものはどれか。
- A本人が第三者への提供を希望しない旨を申し出た個人情報
- ✓人種、信条、社会的身分、病歴、犯罪の経歴その他本人に対する不当な差別、偏見その他の不利益が生じないよう特に配慮を要するものとして政令で定める記述等が含まれる個人情報
- C6か月以内に消去することとされている個人情報
- D個人情報データベース等を構成しない散在情報としての個人情報
解説
要配慮個人情報は、人種、信条、病歴、犯罪の経歴等、本人に対する不当な差別や偏見その他の不利益が生じないよう特に配慮を要する記述等を含む個人情報として法令上定義されている。
根拠個人情報保護法第2条第3項（要配慮個人情報の定義）
個人情報取扱事業者が新たに個人情報を取得する場合の対応順序として最も適切なものはどれか。
- A個人情報の取得 → 利用目的の特定 → 利用目的の通知・公表
- ✓利用目的の特定 → 個人情報の取得 → 取得後速やかな利用目的の通知・公表（あらかじめ公表している場合を除く）
- C利用目的の通知・公表 → 利用目的の特定 → 個人情報の取得
- D個人情報の取得 → 利用目的の通知・公表 → 利用目的の特定
解説
事業者はあらかじめ利用目的をできる限り特定した上で個人情報を取得し、取得後は速やかに利用目的を本人に通知し又は公表しなければならない（あらかじめ公表している場合を除く）。
根拠個人情報保護法第17条（利用目的の特定）・第21条（取得に際しての利用目的の通知等）
本人が、自己の個人データが偽りその他不正の手段により取得されたものであることを理由に利用停止を請求し、事業者がその請求に理由があると認めた場合の対応として最も適切なものはどれか。
- ✓違反を是正するために必要な限度で、当該個人データの利用の停止又は消去を行わなければならない
- B当該個人データの内容を訂正すれば足り、利用停止までは不要である
- C本人に開示を行えば足り、利用停止の義務は生じない
- D第三者提供のみを停止すれば足り、事業者内部での利用は継続してよい
解説
不正の手段による取得など法令違反がある場合、本人は保有個人データの利用停止・消去を請求でき、事業者は違反を是正するために必要な限度でこれに応じる義務がある。
根拠個人情報保護法第35条（利用停止等）
匿名加工情報を作成し、これを第三者に提供しようとする場合の手続の順序として最も適切なものはどれか。
- A安全管理措置を講じる→加工基準に従い加工する→加工情報の項目を公表する→提供時の項目・方法を公表する
- B加工基準に従い加工する→提供時の項目・方法を公表する→加工情報の項目を公表する→安全管理措置を講じる
- ✓加工基準に従い加工する→加工方法等情報について安全管理措置を講じる→加工情報に含まれる項目を公表する→第三者提供時の項目・方法を公表する
- D加工情報の項目を公表する→加工基準に従い加工する→安全管理措置を講じる→提供時の項目・方法を公表する
解説
匿名加工情報の作成にあたっては、まず加工基準に従い加工し、加工方法等情報について安全管理措置を講じ、含まれる情報の項目を公表し、第三者提供する場合はその項目・方法もあらかじめ公表する必要がある。
根拠個人情報保護法第43条・第44条（匿名加工情報の作成・提供に関する義務）
「個人関連情報」と「個人データ」の違いに関する記述として最も適切なものはどれか。
- A個人関連情報は要配慮個人情報を包含する上位概念である
- B個人関連情報も個人データと同様に、本人からの開示請求の対象となる
- ✓個人関連情報は提供元では特定の個人を識別できない情報であるが、提供先が個人データとして取得することが想定される場合、提供元に一定の確認義務が課される
- D個人関連情報の第三者提供には、いかなる場合も本人の同意は不要である
解説
個人関連情報は提供元単独では特定の個人を識別できないが、提供先において個人データとして取得することが想定される場合には、提供元は本人同意の取得状況等を確認する義務を負う。
根拠個人情報保護法第31条（個人関連情報の第三者提供の制限）
個人情報保護委員会から勧告を受けた個人情報取扱事業者が、正当な理由なく当該勧告に係る措置をとらなかった場合に、委員会が次にとりうる措置として最も適切なものはどれか。
- A直ちに刑事告発を行う
- ✓期限を定めて、勧告に係る措置をとるべきことを命ずることができる
- C事業者の個人情報取扱事業者としての登録を取り消す
- D本人からの請求がない限り、それ以上の措置をとることはできない
解説
委員会は勧告を受けた者が正当な理由なく勧告に係る措置をとらなかったときは、緊急性が高い場合等を除き、期限を定めて当該措置をとるべきことを命ずることができる。個人情報取扱事業者に登録制度はない。
根拠個人情報保護法（勧告及び命令の規定）
個人情報保護法における安全管理措置の4類型に関する記述として最も適切なものはどれか。
- A人的安全管理措置とは、個人データを取り扱う情報システムへのアクセス制御等の技術的な措置をいう
- ✓組織的安全管理措置とは、個人データの安全管理に係る規程等の整備・運用及び体制の整備等をいう
- C物理的安全管理措置とは、従業者に対する教育・研修をいう
- D技術的安全管理措置とは、個人データを取り扱う区域の管理等の措置をいう
解説
組織的安全管理措置は、安全管理に係る規程等の整備・運用、責任者の設置等の体制整備を指す。他の選択肢は各措置の内容が入れ替わっており誤りである。
根拠個人情報保護法第23条、個人情報の保護に関する法律についてのガイドライン（通則編）10（別添）講ずべき安全管理措置の内容
個人情報取扱事業者A社が、個人データの取扱いを委託先B社に委託する場合、A社が講ずべき対応として最も適切なものはどれか。
- AB社に委託した時点で、A社の個人データに関する安全管理措置の義務は免除される
- ✓B社における個人データの取扱状況を把握し、必要かつ適切な監督を行う義務があり、これには委託契約において安全管理措置に関する事項を定めることが含まれる
- CA社はB社内部の安全管理措置の内容を一切確認する権限を有しない
- D委託先の監督義務は、委託する情報に要配慮個人情報が含まれる場合に限られる
解説
委託者は委託先に対する必要かつ適切な監督義務を負い、契約内容に安全管理措置に関する事項を盛り込むことが求められる。委託しても委託者自身の義務は免除されない。
根拠個人情報保護法第25条（委託先の監督）
個人情報保護法における安全管理措置に関する記述として最も適切なものはどれか。
- A安全管理措置は要配慮個人情報についてのみ義務付けられる
- ✓個人情報取扱事業者は、その取り扱う個人データの漏えい、滅失又は毀損の防止その他の個人データの安全管理のために必要かつ適切な措置を講じなければならない
- C安全管理措置は個人情報取扱事業者ではなく個人情報保護委員会が講ずる措置である
- D安全管理措置は匿名加工情報については一切適用されず、講ずる必要がない
解説
安全管理措置は、要配慮個人情報に限らず取り扱う個人データ全般について、漏えい等の防止その他の安全管理のために事業者自身が講じなければならない義務である。
根拠個人情報保護法第23条（安全管理措置）
ある事業者において、個人データが記載された紙の書類を、シュレッダー等による裁断や溶解処理を行わずにそのまま一般ごみとして廃棄したところ、第三者に持ち去られ個人データが漏えいした。この事案が示す安全管理措置上の不備として最も適切なものはどれか。
- A技術的安全管理措置における「外部からの不正アクセス等の防止」の不備
- B組織的安全管理措置における「取扱状況を確認する手段の整備」の不備
- C人的安全管理措置における「従業者に対する教育・研修」の不備のみであり物理的な不備はない
- ✓物理的安全管理措置における「個人データの削除及び機器、電子媒体等の廃棄」の不備
解説
個人データが記載された書類等を廃棄する際には、復元不可能な方法（裁断、溶解等）で行う必要があり、これは物理的安全管理措置の一内容である。
根拠ガイドライン通則編 安全管理措置－物理的安全管理措置（個人データの削除及び機器、電子媒体等の廃棄）
個人情報保護法についてのガイドライン（通則編）が示す人的安全管理措置に関する記述として最も適切なものはどれか。
- A従業者との非開示契約の締結は、技術的安全管理措置に分類される
- B人的安全管理措置とは、個人データを取り扱う区域への入退室を制限する措置のみを指す
- C人的安全管理措置は、委託先事業者に対する監督のみを内容とする
- ✓従業者との雇用契約時等に、業務上知り得た個人データを他の目的に利用しない等の非開示契約を締結することが、人的安全管理措置の一例として挙げられている
解説
人的安全管理措置には、従業者に対する教育・研修のほか、雇用契約時等における非開示契約の締結が例として挙げられている。
根拠ガイドライン通則編 安全管理措置－人的安全管理措置
個人情報保護法についてのガイドライン（通則編）が示す組織的安全管理措置に関し、個人データの取扱いに係る規律に従った運用を開始した後の対応として、ガイドラインが求めているものとして最も適切なものはどれか。
- A従業者の教育は、入社時に一度行えば足り、その後は実施する必要がない
- B個人データの取扱状況の把握は、監督官庁からの指摘を受けた場合にのみ行えばよい
- C一度定めた基本方針や規程は、事業内容に変更がない限り改定してはならない
- ✓個人データの取扱状況について、定期的に自ら行う点検や監査等により把握し、必要に応じて安全管理措置の見直しを行うこと
解説
組織的安全管理措置には、規程等に基づく運用状況を定期的に点検・監査等により把握し、必要に応じて見直しを行うことが含まれる。指摘を受けたときのみ対応すれば足りるわけではない。
根拠個人情報の保護に関する法律についてのガイドライン（通則編）組織的安全管理措置「取扱状況の把握及び安全管理措置の見直し」
ある個人情報取扱事業者において、従業者が私物のスマートフォンで顧客の個人データが表示された画面を撮影し、SNSに投稿してしまう事案が発生した。この事案の背景として考えられる安全管理措置上の不備として最も適切なものはどれか。
- A委託先に対する監督が不十分であったこと
- ✓個人データの適正な取扱いに関する従業者への教育・研修が不足していたこと
- C個人データを取り扱う情報システムのアクセスログが取得されていなかったこと
- D個人データを取り扱う区域が管理区域として設定されていなかったこと
解説
従業者による私物端末での撮影・SNS投稿は、個人データの取扱いに関する規律の周知や教育・研修が不足していたことに起因すると考えられ、人的安全管理措置の不備に該当する。
根拠個人情報の保護に関する法律についてのガイドライン（通則編）人的安全管理措置
個人情報取扱事業者が、パスワードにより十分な強度で暗号化した個人データを含むファイルを誤って第三者に送信したが、当該パスワードは送信しておらず、第三者が復号して内容を閲覧することは困難な状態であったと認められる場合の対応として、最も適切なものはどれか。
- A100人を超える対象者数の漏えいであれば、暗号化の有無にかかわらず速報・確報の双方が必要である
- ✓高度な暗号化その他の個人の権利利益を保護するために必要な措置が講じられ、第三者による閲覧が困難であったと認められる場合には、報告義務の対象となる漏えい等に該当しないため、委員会への報告及び本人への通知はいずれも不要である
- C直ちに委員会へ速報のみ行えばよく、確報の提出は不要である
- D暗号化されていた場合でも、念のため本人への通知のみは必ず行わなければならない
解説
高度な暗号化等の適切な安全管理措置が講じられ、第三者に個人データの内容を知られるおそれがないと認められる場合には、そもそも報告等の対象となる「漏えい等」に該当しないとされている。
根拠個人情報保護法施行規則、個人情報の保護に関する法律についてのガイドライン（通則編）漏えい等の対応
個人情報取扱事業者A社が個人データの取扱いをB社に委託していたところ、B社がA社の承諾を得ずに業務の一部をC社に再委託し、C社の管理不備により漏えいが発生した場合の記述として最も適切なものはどれか。
- A再委託はB社の裁量で自由に行うことができ、A社は再委託について一切責任を負わない
- B再委託先C社との関係ではA社は個人情報取扱事業者に該当しなくなるため、いかなる責任も生じない
- ✓A社は、委託先であるB社が再委託を行う場合に必要な監督を行っていたか等の観点から、委託先の監督義務に関して責任を問われうる
- D再委託が行われた時点で、A社とB社との間の委託契約は法律上当然に無効となる
解説
委託元は再委託が行われる場合、委託先が再委託先に対して自らと同等の監督を行っているかを含めて確認する義務があり、これを怠ると委託先の監督義務違反を問われうる。
根拠個人情報の保護に関する法律についてのガイドライン（通則編）委託先の監督
個人情報取扱事業者が本人から自己の個人データの取扱いに関する苦情の申出を受けた場合の対応として、最も適切なものはどれか。
- A苦情の申出は書面によるものに限られ、口頭による申出には対応する義務はない
- ✓個人情報取扱事業者は、個人情報の取扱いに関する苦情の適切かつ迅速な処理に努めるとともに、そのために必要な体制の整備に努めなければならない
- C苦情の申出があった場合、事業者は必ず個人情報保護委員会に報告しなければならない
- D苦情の申出は開示請求と同一の手続によらなければ受け付けることができない
解説
個人情報取扱事業者には、個人情報の取扱いに関する苦情の適切かつ迅速な処理に努める義務があり、そのための窓口設置等の体制整備に努めることが求められている。
根拠個人情報保護法 苦情の処理に関する規定
オプトアウトの規定により個人データを第三者に提供している個人情報取扱事業者が、個人情報保護委員会に届け出た事項（本人の求めにより提供を停止する方法等）に変更を生じさせようとする場合の対応として最も適切なものはどれか。
- ✓変更しようとする日までに、変更しようとする事項について、あらかじめ個人情報保護委員会に届け出なければならない
- B変更後も特に届出等の対応をする必要はない
- C変更の届出は本人の同意を得た場合に限り行うことができる
- D変更があった場合は、翌年の定期報告の際にまとめて届け出れば足りる
解説
オプトアウトによる第三者提供に係る届出事項に変更が生じる場合、変更しようとする日までにあらかじめ委員会へ届け出る必要がある。
根拠個人情報保護法 オプトアウトによる第三者提供（第27条関係）
個人情報取扱事業者がオプトアウトの規定により個人データを第三者に提供しようとする場合の手続の順序として、最も適切なものはどれか。
- ✓法定事項を本人に通知し又は本人が容易に知り得る状態に置く→個人情報保護委員会へ届け出る→委員会が届出事項を公表する→第三者への提供を開始する
- B個人情報保護委員会へ届け出る→第三者への提供を開始する→法定事項を本人に通知する→委員会が届出事項を公表する
- C第三者への提供を開始する→個人情報保護委員会へ届け出る→法定事項を本人に通知する→委員会が届出事項を公表する
- D委員会が届出事項を公表する→法定事項を本人に通知する→個人情報保護委員会へ届け出る→第三者への提供を開始する
解説
オプトアウトによる第三者提供を行うには、あらかじめ法定事項を本人に通知等した上で委員会に届け出て、委員会が当該事項を公表していることを確認してから提供を開始する必要がある。
根拠個人情報保護法 オプトアウトによる第三者提供（第27条関係）
個人情報取扱事業者が、既に特定している利用目的を変更しようとする場合の対応として最も適切なものはどれか。
- ✓変更前の利用目的と関連性を有すると合理的に認められる範囲内で変更後の利用目的を定めた上で、本人に通知し又は公表し、その後に変更後の目的の範囲内で利用を行う
- B利用目的の変更には常に本人の書面による同意が必要であり、通知又は公表のみでは足りない
- C変更後の利用目的を公表すれば足り、変更前の利用目的との関連性は問われない
- D本人の同意を得ることなく利用目的を自由に変更した上で、事後に個人情報保護委員会へ届け出れば足りる
解説
利用目的の変更は、変更前の目的と関連性を有すると合理的に認められる範囲内でのみ認められ、変更後の利用目的について本人への通知又は公表が必要である。
根拠個人情報保護法 利用目的の特定及び変更に関する規定
個人情報取扱事業者が仮名加工情報を作成する場合の対応として最も適切なものはどれか。
- A仮名加工情報の作成には個人情報保護委員会への事前の届出が必要である
- B氏名を仮の名称に置き換えるだけでよく、削除した記述等の安全管理措置を講じる必要はない
- ✓作成基準に従い他の記述等と照合しない限り特定の個人を識別できないように加工した上で、削除した記述等及び加工方法に関する情報について、削除情報等の安全管理措置を講じる
- D作成後直ちに公表すれば、削除した記述等を保管する必要はない
解説
仮名加工情報の作成に当たっては定められた基準に従って加工を行うとともに、削除した記述等や加工の方法に関する情報（削除情報等）について安全管理措置を講じる必要がある。
根拠個人情報保護法第41条、個人情報の保護に関する法律についてのガイドライン（仮名加工情報・匿名加工情報編）