社会福祉士・精神保健福祉士の国試では、個人情報保護法が権利擁護、地域福祉、組織と経営など複数の科目で出題されますが、出題されるポイントはある程度はっきりしています。ここでは条文をもとに、頻出の5点を整理します。太文字は「出題された主なポイント」です。
①個人情報保護法の目的及び個人情報の定義
個人情報保護法は、個人情報の有用性に配慮しながら、個人の権利利益を保護することを目的としています（第1条）。なお、個人情報保護に関する官民を通じた基本となる事項を定めた法律と位置付けられています。
個人情報とは、生存する個人に関する情報であって、氏名や生年月日などにより特定の個人を識別できるもの、または個人識別符号が含まれるものをいいます（第2条1項）。
個人識別符号には、指紋データやDNAの塩基配列といった身体的特徴を変換した符号のほか、マイナンバーや旅券番号のように個人ごとに割り振られる番号も含まれます（第2条2項）。一方で、クレジットカード番号は利用者ごとに異なる番号として発行されるものの、個人識別符号には該当しないとされています。
②要配慮個人情報（第2条3項）
要配慮個人情報とは、本人の人種、信条、社会的身分、病歴、犯罪の経歴、犯罪により害を被った事実その他不当な差別や偏見が生じないよう特に配慮を要する記述等が含まれる個人情報をいいます（第2条3項）。福祉の現場でいえば、利用者の病歴や障害の状況、生活保護の受給歴などがこれにあたります。
要配慮個人情報の取得には、原則として本人の同意が必要です（第20条2項）。同意なく取得できる例外は、法令に基づく場合や、人の生命・身体・財産の保護に必要で本人の同意を得ることが困難な場合など、後述する第三者提供の例外事由とほぼ同じ内容が定められています。
③匿名加工情報（第2条6項）
匿名加工情報とは、特定の個人を識別できないように個人情報を加工し、かつ元の個人情報を復元できないようにした情報をいいます（第2条6項）。統計データとして地域の福祉ニーズを分析する場合などに使われる考え方で、本人の同意を得なくても第三者に提供できる点が個人データとの大きな違いです。
④個人情報取扱事業者の範囲（第16条2項）
個人情報取扱事業者とは、個人情報データベース等を事業の用に供している者をいいます（第16条2項）。ここでいう「事業」は営利・非営利を問わないため、ボランティア団体や任意団体であっても、利用者名簿を作成して活用していれば個人情報取扱事業者に該当します。また、事業規模、取り扱う個人情報の多寡に関係なく、法の対象となります。除外されるのは、国の機関、地方公共団体、独立行政法人等、地方独立行政法人に限られます。
⑤第三者提供の制限と本人同意の例外（第27条1項）
個人情報取扱事業者は、次のいずれかに該当する場合を除き、あらかじめ本人の同意を得ないで個人データを第三者に提供してはならないとされています（第27条1項）。
同意なく提供できる例外は、以下の４つです。
①法令に基づく場合
②人の生命・身体・財産の保護に必要で本人の同意を得ることが困難な場合
③公衆衛生の向上または児童の健全な育成の推進に特に必要で本人の同意を得ることが困難な場合
④国の機関や地方公共団体等の法令の定める事務の遂行に協力する必要があり同意を得ることで事務の遂行に支障が出るおそれがある場合
福祉の現場では、虐待対応や災害時の安否確認など「本人の同意を得ることが困難」等が、この例外に該当します。
苦情について
個人情報の苦情解決について、以下の4点が規定されています
①個人情報取扱事業者自身が適切かつ迅速な処理に努める義務を負い、体制整備に努めること
②事業者だけでの解決が難しい場合には、認定個人情報保護団体（内閣府設置法に基づいて置かれる個人情報保護委員会が認定する）が調査や助言を行う
＊事業者に説明や資料提出を求めることができ、事業者側はこれを正当な理由なく拒めません。
③国は事業者と本人の間の苦情処理に必要な措置を講じよう努める
④地方公共団体は苦情処理のあっせんその他必要な措置を講ずるよう努める
過去問で確認しましょう
第30回問117
個人情報の保護に関する法律に関する次の記述のうち、正しいものを2つ選びなさい。
1 個人情報取扱事業者には、地方公共団体が含まれる。
2 個人情報取扱事業者の義務は、規定されていない。
3 健康診断やその他の検査の結果の情報の取得に当たっては、原則として本人の同意を得ることが必要とされている。
4 個人情報の有用性に配慮しつつ、個人情報取扱事業者の権利利益を保護することを目的としている。
5 個人情報保護に関する官民を通じた基本となる事項を定めた法律である。
→× 1 地方公共団体は個人情報取扱事業者から除外されている（第16条2項）。
→× 2 個人情報取扱事業者の義務は第4章に規定されている。
→○ 3 要配慮個人情報の取得には原則として本人の同意が必要（第20条2項）。
→× 4 保護の対象は個人情報取扱事業者の権利利益ではなく個人の権利利益（第1条）。
→○ 5 個人情報保護法は官民を通じた基本法である。
第33回問116
次の記述のうち、個人情報の保護に関する法律の内容として、正しいものを1つ選びなさい。
1 個人情報取扱事業者には、国・地方公共団体が含まれる。
2 個人情報の取扱いが5,000人以下の事業者は、法律の適用対象外である。
3 個人情報には、個人の身体的な特徴に関する情報が含まれる。
4 認定個人情報保護団体とは、市町村の認定を受けた民間団体である。
5 要配慮個人情報とは、本人が配慮を申し立てた個人情報のことである。
→× 1 国・地方公共団体は個人情報取扱事業者から除外されている。
→× 2 取扱う個人情報の数による適用除外はない。
→○ 3 個人識別符号として身体的特徴を変換した符号が個人情報に含まれる（第2条2項）。
→× 4 認定個人情報保護団体は個人情報保護委員会の認定を受けた団体である（第47条）。
→× 5 要配慮個人情報は本人の人種・信条・病歴等、法定された類型の情報をいう（第2条3項）。
第34回問115
次の記述のうち、個人情報の保護に関する法律の内容として、正しいものを1つ選びなさい。
1 死亡した個人に関する情報も保護の対象とする。
2 個人情報取扱事業者の権利利益を保護することを目的として、個人情報取扱事業者の遵守すべき義務等を定めている。
3 個人情報取扱事業者が第三者に個人データを提供するときは、常に本人の同意を得なければならない。
4 個人情報取扱事業者は、個人情報の取扱いに関する苦情の解決について、常に地方公共団体に委ねなければならない。
5 匿名加工情報とは、特定の個人を識別することができないように個人情報を加工して得られる個人に関する情報であって、当該個人情報を復元することができないようにしたものである。
→× 1 保護の対象は生存する個人に関する情報である（第2条1項）。
→× 2 目的は個人情報取扱事業者ではなく個人の権利利益の保護（第1条）。
→× 3 本人の同意を得ずに提供できる例外がある（第27条1項）。
→× 4 苦情処理は事業者自身が努めるべき事項であり、常に地方公共団体に委ねるものではない（第35条）。
→○ 5 匿名加工情報の定義そのもの（第2条6項）。
第36回問112
「個人情報保護法」に関する次の記述のうち、正しいものを1つ選びなさい。
1 個人情報取扱事業者には、国の機関は除外されている。
2 本人の生命の保護に必要がある場合であっても、本人の同意を得ることが困難であるときは、個人情報を第三者に提供してはならない。
3 オンラインによる個人情報の提供は、ウイルスや不正アクセス等のリスクを伴うため禁止されている。
4 クレジットカード番号は、個人識別符号に含まれる。
5 事業者は、サービス利用者から本人のサービス記録の開示を求められた場合でも、これに応じる義務はない。
→○ 1 国の機関は個人情報取扱事業者から除外されている（第16条2項）。
→× 2 人の生命の保護に必要で同意取得が困難なときは、同意なく提供できる（第27条1項2号）。
→× 3 オンラインでの提供を一律に禁止する規定はない。
→× 4 クレジットカード番号は個人識別符号に含まれない。
→× 5 本人から開示請求があれば原則として開示に応じる義務がある（第33条）。
第37回問128
「個人情報保護法」に基づく、個人情報取扱事業者である福祉サービス提供組織の情報管理に関する次の記述のうち、最も適切なものを1つ選びなさい。
1 福祉サービスの利用者名簿を作成し活用している団体のうち、ボランティア団体や任意団体は、個人情報取扱事業者から除外されている。
2 個人情報取扱事業者は、包括的な同意があれば、取得した個人情報の利用目的を事業者の都合のよいように自由に変更することができる。
3 利用者本人の信条に関する情報は、支援のために必要があれば、本人の同意を得ずとも、取得し地域の関係機関と共有できる。
4 要配慮個人情報とは、要配慮者の要介護認定や障害支援区分認定に関する情報を指し、犯罪の経歴は含まないとされている。
5 個人データを第三者提供する際の本人からの同意は、人の生命・身体・財産の保護に必要で本人からの同意取得が困難な場合は、例外的に不要である。
→× 1 ボランティア団体や任意団体も名簿を事業の用に供していれば個人情報取扱事業者に該当する（第16条2項）。
→× 2 利用目的の変更は、変更前の目的と関連性を有すると合理的に認められる範囲を超えてはならない（第17条2項）。
→× 3 信条は要配慮個人情報にあたり、原則として本人の同意が必要（第20条2項）。
→× 4 犯罪の経歴も要配慮個人情報に含まれる（第2条3項）。
→○ 5 第三者提供の同意の例外事由そのもの（第27条1項2号）。
第38回問44（選択肢1のみ）
1 2023年（令和5年）施行の「改正個人情報保護法」では、多機関連携を推進するため、地方公共団体ごとに個人情報保護条例を制定し、情報共有ルールを明確にすることが規定された。
→× 実際の改正内容はこれと逆である。従来は地方公共団体ごとに条例が制定され、規定や運用に相違あったため、令和3年改正はこれを解消するため、地方公共団体を含めた全国共通ルールに統一し、所管を個人情報保護委員会に一元化した。
コメント