重要度：A 論点：個人情報取扱事業者
問1：「個人情報取扱事業者」の定義を述べよ。
解答を見る
個人情報データベース等を事業の用に供している者をいう。ただし、国の機関、地方公共団体、独立行政法人等及び地方独立行政法人を除く（16条2項）。かつて存在した「取り扱う個人情報が5000人分以下の事業者を除外する」要件は平成27年改正で廃止され、取り扱う個人情報の件数にかかわらず、個人情報データベース等を事業の用に供する者が対象となる。営利・非営利を問わないため、NPO法人や自治会等も、個人情報データベース等を事業の用に供していれば該当し得る。
関連過去問：－
重要度：A 論点：利用目的の規律
問2：個人情報の利用目的に関する事業者の義務を述べよ。
解答を見る
①利用目的をできる限り特定しなければならない（17条1項）。②変更は変更前の利用目的と関連性を有すると合理的に認められる範囲内に限られる（同2項）。③取得に際しては、あらかじめ公表している場合を除き、速やかに利用目的を本人に通知し又は公表しなければならない（21条1項。契約書等の書面で直接取得する場合はあらかじめ明示）。④本人の同意なく利用目的の達成に必要な範囲を超えて取り扱ってはならない（18条1項）。
関連過去問：－
重要度：A 論点：要配慮個人情報
問3：要配慮個人情報の取得の規律を述べよ。
解答を見る
要配慮個人情報（人種・信条・社会的身分・病歴・犯罪の経歴・犯罪被害事実等）は、法令に基づく場合等を除き、あらかじめ本人の同意を得ないで取得してはならない（20条2項）。また要配慮個人情報はオプトアウトによる第三者提供が認められない点も重要。通常の個人情報の取得には本人同意が不要（適正取得・利用目的の通知等で足りる）であることとの対比。
関連過去問：－
重要度：A 論点：第三者提供の原則と例外
問4：個人データの第三者提供の原則と、同意が不要な場合を述べよ。
解答を見る
個人データをあらかじめ本人の同意を得ないで第三者に提供してはならないのが原則である（27条1項）。同意が不要なのは、①法令に基づく場合、②人の生命・身体・財産の保護に必要で、本人の同意を得ることが困難な場合、③公衆衛生の向上又は児童の健全な育成の推進に特に必要で、本人の同意を得ることが困難な場合、④国の機関・地方公共団体又はその委託先の法定事務に協力する必要があり、本人の同意を得ると事務遂行に支障を及ぼすおそれがある場合、⑤提供者が学術研究機関等で、研究成果の公表又は教授のためやむを得ない場合、⑥提供者が学術研究機関等で、提供者と第三者が共同して学術研究を行うため学術研究目的で提供する必要がある場合、⑦提供先が学術研究機関等で、学術研究目的で取り扱う必要がある場合である。ただし、⑤から⑦までは、個人の権利利益を不当に侵害するおそれがある場合を除く。また、所定事項を本人に通知し、又は本人が容易に知り得る状態に置くとともに、個人情報保護委員会へ届け出るオプトアウト提供も認められる。ただし、要配慮個人情報、20条1項に違反して取得された個人データ及び他の個人情報取扱事業者からオプトアウトにより提供された個人データ（その全部又は一部を複製し、又は加工したものを含む。）は、オプトアウト提供の対象外である（27条2項）。
関連過去問：R6,問57
重要度：A 論点：第三者に該当しない場合
問5：第三者提供の制限において「第三者」に該当しない場合を3つ挙げよ。
解答を見る
①利用目的の達成に必要な範囲内で個人データの取扱いの全部又は一部を委託することに伴って提供する場合、②合併その他の事由による事業承継に伴って提供する場合、③特定の者との間で共同利用する場合で、共同利用する旨、共同利用される個人データの項目、共同利用者の範囲、共同利用者の利用目的並びに当該個人データの管理について責任を有する者の氏名又は名称及び住所（法人の場合は代表者の氏名も含む。）を、あらかじめ本人に通知し、又は本人が容易に知り得る状態に置いている場合である（27条5項）。これらの提供先は「第三者」に該当しないため、第三者提供についての本人同意は不要である。
関連過去問：－
