ITパスポート 2019年 秋期 問27

取得した個人情報の管理に関する行為a〜c【ITパスポート 解説】

正解の理由

• 「利用目的の通知・公表」：個人情報を取得する際に、誰が何のために使うか（利用目的）を本人に知らせる（通知）か、あるいは広く公表する義務が生じる場面があります。
• 「第三者提供」や「取得元が本人でない場合の扱い」：第三者へ提供する場合や、本人から直接取得していない場合に、本人へ通知する、または公表する必要が出ることがあります。

解法ステップ

1. a、b、c のそれぞれが「どんな行為」か正確に読み取る（例：「利用目的の変更」「第三者への提供」「委託先への預託」など）。
2. それぞれの行為が「本人への通知（直接告げる）」「公表（ウェブサイト等で公表）」のどちら、あるいはどちらも必要かを判定するためのルールをあてはめる。
   • 個人情報取得時の利用目的の明示義務はあるか？
   • 取得元が本人でない場合、公表で代替できるか？
   • 第三者提供は本人の同意が必要か、またその前後で通知・公表が必要か？
3. 各行為について「通知・公表が必要なら○、不要なら×」と整理する。
4. 問題の選択肢（ア〜エ）と照合して、条件を満たす組合せを選ぶ。

選択肢別の誤答解説

• ア: a のみ
  → a が「利用目的を本人に伝える必要がある行為」でない限り誤り。問題で a のみだとすると、b の該当性を見落としている可能性があります。
• イ: a, b
  → a にも通知・公表義務があると誤認しているケース。例えば「単に個人情報を安全に管理する行為（漏えい防止など）」は通知義務の対象ではありません。a が単なる管理措置ならこの選択は誤りです。
• ウ: b
  → b の行為だけが通知・公表要件に該当する場合に正解になります。よくあるbの例は「利用目的を知らせる必要がある場面」や「第三者提供の要件に該当する場合」です。
• エ: b, c
  → c に通知・公表が必要ない場合に誤り。よくある間違いは「個人情報の取扱いに関する全ての行為に通知が必要」と考えてしまうことです。実際には「通知・公表が法律で定められている特定の行為」に限られます。

よくある誤解

1. 「個人情報を扱う全ての行為で通知・公表が必要」
   → 実際は、取得時の利用目的の明示や、第三者提供など特定の場面で通知／公表が必要になる場合があるだけです。単に内部で管理・保管するだけなら通知や公表は不要なことが多いです。
2. 「公表＝紙で配ること」だと思い込む
   → 公表はウェブサイトでの掲示や事業所内掲示など、第三者が確認できる方法で行えばよく、紙配布限定ではありません。
3. 「通知と同意を同じ意味で使う」
   → 通知は「知らせること」、同意は「本人が了承すること」です。多くの場面で通知だけではなく事前の同意が求められる場合があります（第三者提供など）。

補足コラム

• 「個人情報取扱事業者」とは？
  → 個人情報を事業の用に供している者のこと。規模や業種を問わず一定の条件で法律の適用を受けます。日常的な事業活動で顧客の氏名・連絡先・購買履歴などを扱えば該当する可能性が高いです。
• 「通知」と「公表」の使い分け（実務上のイメージ）
  → 本人から直接情報を受け取るときは通知（面談やフォームで明示）。本人から直接得られない場合（外部からデータを受け取ったときなど）は公表（ウェブサイトでの掲示など）で対応することが多いです。

FAQ