ITパスポート 2019年 秋期 問27

個人情報の通知・公表要件【ITパスポート解説】

正解の理由

解法ステップ

1. まず「誰から取得したか」を確認する
   • 「本人から直接取得」か「本人以外（他事業者や公開情報）から取得」かで、通知か公表かの要否や方法が変わります。
2. 次に「何をする行為か」を識別する
   • 利用目的の明示（通知・公表）、利用目的の変更、第三者提供、委託（アウトソース）、保管・管理など、行為の種類を明確にします。
3. 個人情報保護法の要件に照らす
   • 「利用目的の通知・公表」は取得時や目的の特定が不十分な場合に要求されます。直接取得できる場合は本人への通知、直接通知が難しい場合は公表で代替することが多いです。第三者提供や目的外利用は別の規律（同意や制限）で判断します。
4. 各行為ごとに「通知／公表が必要か」を個別に判定する
   • ステップ1〜3の結果を合わせて、a〜c を「通知／公表が必要」「不要」に振り分け、選択肢と照らし合わせる。

選択肢別の誤答解説

• 「保管だけなら通知が必要」と誤解するケース
  • 単なる保管やアクセス制御（ロック、暗号化）自体は通知・公表の対象ではありません。通知は主に「利用目的の明示」に関わる行為で必要となります。
• 「第三者提供は常に通知で済む」と思うケース
  • 第三者提供は本人の同意や提供先の明示、事前の公表等、別の要件が関わるため、単純に通知だけで済まない場面が多いです。
• 「匿名化すれば何をしても良い」とする誤解
  • 実効的に識別できない匿名加工情報は個人情報の扱いが変わりますが、匿名化の程度や再識別リスクで扱いが変わるため注意が必要です。

よくある誤解

• 親切に「利用目的を書けばいい」とだけ考える
  • 単に目的を書くだけでなく、「いつ・誰に・どの方法で通知するか（本人通知／公表）」や「取得方法による所定の手続き」が重要です。
• 「外部へ渡すときは必ず通知が必要」と短絡する
  • 第三者提供は本人同意、オプトアウト方式、法令例外など複数のルートがあり、必ず通知＝十分ではありません。
• 「公表はウェブだけでいい」と思う
  • 公表手段は状況によって適切な方法が求められます。単純にウェブ掲載すれば足りるとは限りません（入手手段や本人の属性による）。

補足コラム

• 通知（本人への通知）と公表（不特定多数に向けた告知）の違い
  • 通知：その個人に直接伝えること。例えば書面や電子メールで本人に伝える。
  • 公表：個人ごとに直接通知することが困難な場合に、ホームページや広報で目的等を公開すること。
    取得方法（直接取得か間接取得か）や実務上の可否で、どちらを使うかが決まります。
• 試験でのチェックポイント（短時間で判定するコツ）
  1. 「取得元が本人か」をまず確認。
  2. 「行為が目的の提示・変更・第三者提供のどれか」を見分ける。
  3. 問題文に「通知する」「公表する」「第三者に提供する」「目的外利用する」などの語句があるか注目する。

FAQ