行政書士 過去問
令和6年度
問57 (一般知識等 問11)

〇

「個人情報取扱事業者は、その取り扱う個人データの漏えい、滅失、毀損その他の個人データの安全の確保に係る事態であって 個人の権利利益を害するおそれが大きいものとして個人情報保護委員会規則で定めるものが生じたときは、個人情報保護委員会規則で定めるところにより、当該事態が生じた旨を個人情報保護委員会に報告しなければならない。」（個人情報保護法26条1項）

〇

「個人情報取扱事業者は、違法又は不当な行為を助長し、又は誘発するおそれがある方法により個人情報を利用してはならない。」（個人情報保護法19条）

〇

「個人情報取扱事業者は、個人データを第三者（第十六条第二項各号に掲げる者を除く。以下この条及び次条（第三十一条第三項において読み替えて準用する場合を含む。）において同じ。）に提供したときは、個人情報保護委員会規則で定めるところにより、当該個人データを提供した年月日、当該第三者の氏名又は名称その他の個人情報保護委員会規則で定める事項に関する記録を作成しなければならない。」（個人情報保護法29条1項）

×

学術研究機関の個人情報取扱事業者の義務に関する規定の適用除外（旧50条1項3号）は改正されました。

よって、学術研究機関にも個人情報取扱事業者の義務に関する規定が適用されます。

〇

個人情報保護法には国の行政機関や地方公共団体の機関の義務に関する規定もあります。（個人情報保護法60条以下）

妥当です。

個人情報取扱業者は、原則として個人データの漏えい等により個人の権利利益を害するおそれが大きい場合には、個人情報保護委員会に報告する義務があります。
不始末があった場合に監督機関に報告する義務を定めるのはごく普通の話です。
 

ここで肢の文章だけを見ると「おそれが大きい」と抽象的な書き方になっていますが、法律的には個人情報保護委員会規則で具体化した定めがあります。

個人情報の保護に関する法律第26条第1項本文「個人情報取扱事業者は、その取り扱う個人データの漏えい、滅失、毀損その他の個人データの安全の確保に係る事態であって個人の権利利益を害するおそれが大きいものとして個人情報保護委員会規則で定めるものが生じたときは、個人情報保護委員会規則で定めるところにより、当該事態が生じた旨を個人情報保護委員会に報告しなければならない。」

個人情報の保護に関する法律施行規則第7条「法第26条第1項本文の個人の権利利益を害するおそれが大きいものとして個人情報保護委員会規則で定めるものは、次の各号のいずれかに該当するものとする。
一　要配慮個人情報が含まれる個人データ（高度な暗号化その他の個人の権利利益を保護するために必要な措置を講じたものを除く。以下この条及び次条第1項において同じ。）の漏えい、滅失若しくは毀損（以下この条及び次条第1項において「漏えい等」という。）が発生し、又は発生したおそれがある事態
二　不正に利用されることにより財産的被害が生じるおそれがある個人データの漏えい等が発生し、又は発生したおそれがある事態
三　不正の目的をもって行われたおそれがある当該個人情報取扱事業者に対する行為による個人データ（当該個人情報取扱事業者が取得し、又は取得しようとしている個人情報であって、個人データとして取り扱われることが予定されているものを含む。）の漏えい等が発生し、又は発生したおそれがある事態
四　個人データに係る本人の数が千人を超える漏えい等が発生し、又は発生したおそれがある事態」

大きく、漏えい等にかかるデータの内容(要配慮情報又は財産的被害につながるようなデータ)、漏えい等が発生した原因行為の目的、漏えい等の規模の3種類が規定されています。
 

なお、「要配慮個人情報」とは、「本人の人種、信条、社会的身分、病歴、犯罪の経歴、犯罪により害を被った事実その他本人に対する不当な差別、偏見その他の不利益が生じないようにその取扱いに特に配慮を要するものとして政令で定める記述等が含まれる個人情報」のことです(個人情報保護法第2条第3項)。一言で言えば、差別などにつながりかねない情報です。

妥当です。

論を待たない話ですが、違法又は不当な行為を助長し又は誘発するような行為が、個人情報利用に限らず一般論として法律上禁止されるのは当然でしょう。
知らなくても常識で判断できます。

個人情報の保護に関する法律第19条「個人情報取扱事業者は、違法又は不当な行為を助長し、又は誘発するおそれがある方法により個人情報を利用してはならない。」
 

妥当です。
 

個人情報取扱事業者は、個人データを第三者に提供した場合には、規則で定める事項を記録として残す義務があります。
いつどこの誰にどんなデータを提供したか分かるようにしておくことで、何かあった時の調査等の便宜を図ることができます。

大事な物品は授受簿を付けて取扱いを厳格に管理するというのは多くの組織で大昔からやっていることですが、その個人情報版ということです。
当然そうだろうという話で、知らなくても常識で判ります。

個人情報の保護に関する法律第29条第1項本文「個人情報取扱事業者は、個人データを第三者（……）に提供したときは、個人情報保護委員会規則で定めるところにより、当該個人データを提供した年月日、当該第三者の氏名又は名称その他の個人情報保護委員会規則で定める事項に関する記録を作成しなければならない。」

なお、「個人情報保護委員会規則で定める事項」は個人情報の保護に関する法律施行規則第20条に定めがあります。

妥当ではありません。よってこの肢が正解です。

個人情報取扱事業者である学術研究機関等が学術研究目的で個人情報を取り扱う場合にも原則として、個人情報取扱事業者の義務に関する規定は適用されます。

個人情報保護法第59条「個人情報取扱事業者である学術研究機関等は、学術研究目的で行う個人情報の取扱いについて、この法律の規定を遵守するとともに、その適正を確保するために必要な措置を自ら講じ、かつ、当該措置の内容を公表するよう努めなければならない。」

もっとも、わざわざこのような規定があるということは、学術研究機関等には他と異なる規律があるということでもあります。

例えば、個人情報の目的外使用は本人の事前同意が必要ですが、学術研究機関等が行う場合などは適用が除外されます(個人情報の保護に関する法律第18条第3項第5号及び第6号)。
例えば、要配慮個人情報の取得には本人の事前同意が必要ですが、学術研究機関等が行う場合などは適用が除外されます(同法第20条第2項第5号ないし7号)

なお、「学術研究機関等」とは「大学その他の学術研究を目的とする機関若しくは団体又はそれらに属する者」を言います(個人情報の保護に関する法律第16条第8項)。

ところで、学術研究機関等以外でも個人情報取扱事業者の義務の規定が適用除外となることがあります。

①報道機関が報道目的で取り扱う場合
②著述業の者が著述目的で取り扱う場合
③宗教団体が宗教活動目的で取り扱う場合
④政治団体が政治活動目的で取り扱う場合

です。

個人情報の保護に関する法律第57条第1項「個人情報取扱事業者等及び個人関連情報取扱事業者のうち次の各号に掲げる者については、その個人情報等及び個人関連情報を取り扱う目的の全部又は一部がそれぞれ当該各号に規定する目的であるときは、この章の規定は、適用しない。
一　放送機関、新聞社、通信社その他の報道機関（報道を業として行う個人を含む。）　報道の用に供する目的
二　著述を業として行う者　著述の用に供する目的
三　宗教団体　宗教活動（これに付随する活動を含む。）の用に供する目的
四　政治団体　政治活動（これに付随する活動を含む。）の用に供する目的
」

以上の4つは、個人情報取扱事業者の義務に関する規定がすべて適用されません。⑤学術研究機関等は一部除外という点が違います。

これら①～④が除外となるのは、憲法に関係があります。
つまり、表現の自由、信教の自由、政治活動の自由という憲法上重要な人権の保障との兼ね合いです。

個人情報の保護に関する法律第149条「委員会は、前3条の規定により個人情報取扱事業者等に対し報告若しくは資料の提出の要求、立入検査、指導、助言、勧告又は命令を行うに当たっては、表現の自由、学問の自由、信教の自由及び政治活動の自由を妨げてはならない。
２　前項の規定の趣旨に照らし、委員会は、個人情報取扱事業者等が第57条第1項各号に掲げる者（それぞれ当該各号に定める目的で個人情報等を取り扱う場合に限る。）に対して個人情報等を提供する行為については、その権限を行使しないものとする。」

上記条文には「学問の自由」も入っています。
実のところ、⑤学術研究機関等も以前は①～④と並べて適用が除外されていました。
しかし、これだとEUの定めるGDPR(General Data Protection Regulation=一般データ保護規則)による十分性認定が受けられず、EU圏の研究機関との共同研究等に支障が生じる可能性がありました。そこで、GDPRの十分性認定が受けられるように法的制度面を変える改正をして学術研究機関等については単純に一律適用除外するのではなく、必要に応じて個別の例外規定を設けて詳細に規律するようにしました。

近時の改正を反映した問題なので知識を更新しておかないと間違える問題です。

なお、GDPRについて詳細は、個人情報保護委員会のウェブサイトをご覧ください。

EU（外国制度） ｜個人情報保護委員会

妥当です。

個人情報保護法は行政機関等にも適用されます。

個人情報の保護に関する法律第1条に「……国及び地方公共団体の責務等を明らかにし、個人情報を取り扱う事業者及び行政機関等についてこれらの特性に応じて遵守すべき義務等を定める……」とある通りです。

「個人情報の保護に関する法律」制定当初は、「行政機関の保有する個人情報の保護に関する法律」「独立行政法人等の保有する個人情報の保護に関する法律」と規制対象によって法律が区別されていましたが、2022年施行の新法によりこの3法は「個人情報の保護に関する法律」に統合一本化されました。

近時の改正を反映しているので知識を更新しておかないと間違える問題です。