事業者が遵守すべき義務を学ぶ分野です。利用目的の特定・通知・公表、適正取得、安全管理措置（組織的・人的・物理的・技術的）、従業者・委託先の監督、苦情処理、個人情報保護方針の策定など、企業実務に直結する義務体系を整理。違反時の罰則や行政処分も問われる、配点の大きい中核分野です。
この分野の問題44問を、選択肢・正解・解説つきで掲載しています。まず自分で解答を考えてから「正解と解説を見る」を開いて答え合わせをしてください。
クイズモードで挑戦 →正解：C．利用目的は、個人情報が最終的にどのような事業の用に供され、どのような目的で利用されるのか、本人が一般的かつ合理的に想定できる程度に具体的に特定しなければならない。
利用目的の特定は、本人が利用範囲を予見できるように、単に抽象的・一般的なものではなく、具体的になされる必要があります。「事業活動のため」等の抽象的な表現は不適切です。
この問題の解説ページを開く →正解：B．利用目的の変更は、変更前の利用目的と関連性を有すると合理的に認められる範囲を超えて行ってはならない。
利用目的の変更は無制限に認められるものではなく、変更前の利用目的と「関連性を有すると合理的に認められる範囲」内でのみ可能です。範囲を超える場合は、原則として本人の同意が必要となります。
この問題の解説ページを開く →正解：A．「商品の発送および関連するアフターサービス」という目的で取得した情報を、「同種の自社新商品に関する案内の送付」に利用する場合。
既存の商品・サービスの提供に伴い、同種・関連する新商品等の案内を送ることは、社会通念上、本人が通常予見し得る範囲内（関連性あり）と認められます。B、C、Dは当初の目的から予見できる範囲を超えており、関連性は認められません。
この問題の解説ページを開く →正解：B．関連性の範囲を超える変更は認められないため、変更後の目的で利用するためには、原則としてあらためて本人の同意を得る必要がある。
関連性を有すると合理的に認められる範囲を超える場合、単なる利用目的の変更手続き（通知・公表）では足りません。この場合、新たな目的での利用は「目的外利用」となるため、原則として本人の同意を得る必要があります。
この問題の解説ページを開く →正解：C．「ご注文いただいた健康食品の発送、決済処理、および関連する健康相談サービスの提供のため」
利用目的は、本人が具体的にどのような場面で使われるか想定できるレベルである必要があります。Cのように対象商品や業務内容が明確であれば適切です。A、B、Dのような抽象的・包括的な表現は、特定が不十分とされます。
この問題の解説ページを開く →正解：A．就職採用選考のために取得した履歴書等の情報を、採用可否の決定後に、自社商品の販売促進のためのカタログ送付に利用すること。
当初の目的（採用選考）と合理的関連性のない目的（商品販売促進）での利用は、目的外利用に該当し、原則として本人の同意が必要です。なお、同意を得るための連絡自体（D）は目的外利用には当たらないと解されています。
この問題の解説ページを開く →正解：B．承継前の利用目的の達成に必要な範囲内であれば、改めて本人の同意を得ることなく利用することができる。
合併等の事業承継に伴って個人情報の提供を受ける場合は、承継前の利用目的の範囲内であれば、本人の同意なく利用できます。その範囲を超えて利用したい場合にのみ、新たな同意が必要です。
この問題の解説ページを開く →正解：C．同意を得るためには、事業の性質や個人情報の取扱状況に応じ、本人が同意に係る判断を行うために必要と考えられる合理的かつ適切な方法によらなければならない。
同意の方法に法令上の限定（書面限定など）はありませんが、本人が明確に判断できる合理的かつ適切な方法である必要があります。沈黙や不同意の意思表示がないこと（A）をもって同意とみなすことはできません。
この問題の解説ページを開く →正解：A．捜査機関等から、法令に基づく照会や手続により情報提供を求められたため、対象者の情報を回答する場合。
法令に基づく照会や手続により情報提供が求められる場合は、「法令に基づく場合」として、本人の同意なく目的外利用（提供）が認められることがあります。B〜Dは、法令に基づく場合に当たりません。
この問題の解説ページを開く →正解：B．自社製品に重大な欠陥が見つかり、購入者の身体に危害が及ぶおそれがあるため、メーカーに購入者情報を提供してリコール対応を行う場合（本人の同意取得が困難なとき）。
製品事故による身体への危害防止（リコール）や、災害時の被災者情報の提供など、生命・身体・財産の保護に必要で、かつ本人の同意を得ることが困難な場合は、例外的に目的外利用が認められます。
この問題の解説ページを開く →正解：C．直ちに違法とはいえないものであっても、社会通念上適正とは認められない行為や公序良俗に反する行為も含まれる。
「違法又は不当な行為」とは、法的な違反行為に限らず、直ちに違法とはいえないものの、法の制度趣旨や公序良俗に反するなど、社会通念上適正とは認められない行為も含みます。
この問題の解説ページを開く →正解：B．提供先が取得目的を偽っていた場合など、提供元の事業者が一般的な注意力を払っても違法利用を予見できない状況であった場合は、不適正な利用には該当しない。
事業者が一般的な注意力を払っても、提供先による違法行為等を予見できない状況（例：相手が目的を偽っていた場合など）であったならば、不適正な利用には該当しないと解されています。
この問題の解説ページを開く →正解：A．官報等の公知情報を独自に収集し、データベース化してインターネット上で公開し、本人に対する違法な差別や嫌がらせを誘発するようなサービスを提供すること。
公知の情報であっても、それを集約してデータベース化し、インターネット上で公開することで、本人に対する違法な差別や不特定多数の者による嫌がらせを誘発するおそれがある場合は、不適正な利用となります。
この問題の解説ページを開く →正解：C．採用選考を通じて取得した情報を、正当な理由なく、特定の国籍や性別のみを理由とした違法な差別的取り扱いを行うために利用すること。
採用選考を通じて取得した個人情報を、性別や国籍等の特定の属性のみを理由として、正当な理由なく本人に対する違法な差別的取り扱いを行うために利用することは、不適正な利用に該当します。
この問題の解説ページを開く →正解：A．広告配信事業者が、広告主から依頼された商品が違法薬物であることを予見できるにもかかわらず、当該商品の広告配信のために自社で取得した個人情報を利用する場合。
広告配信事業者が、第三者から依頼を受けた商品が違法薬物等の違法な商品であることが予見できるにもかかわらず、その広告配信のために個人情報を利用することは、違法行為を助長するおそれがあるため、不適正な利用となります。
この問題の解説ページを開く →正解：B．「不正の手段」には、直ちに違法とはいえない場合であっても、制度趣旨や公序良俗に反するなど、社会通念上適正とは認められない行為も含まれる。
「不正の手段」は単に違法行為（刑法犯など）に限らず、プライバシー権侵害などの民事上の不法行為や、公序良俗に反する行為など、社会通念上適正とは認められない行為も広く含みます。
この問題の解説ページを開く →正解：B．名刺交換で受け取った名刺の内容を、社内のデータベースに入力・保存した。
「取得」は、個人情報を入手し、業務で利用できる形で管理下に置くことが典型です。Bは入力・保存により管理下に置いているため、取得に当たる可能性が最も高いといえます。AやCは管理下に置いておらず、Dは状況によって評価が分かれ得ますが、本問の比較ではBが最も明確です。
この問題の解説ページを開く →正解：A．十分な判断能力を有しない子供から、取得状況から考えて関係のない家族の収入情報を取得する場合。
十分な判断能力を有しない子供や、障害者等から、取得の状況から考えて関係のない家族の収入情報などを取得することは、不正の手段による取得に該当する可能性があります。
この問題の解説ページを開く →正解：A．提供元の第三者が、法で定められた第三者提供の制限（オプトアウト手続きの未実施など）に違反していることを知りながら、当該個人データを取得することは、不正の手段による取得となる。
提供元の第三者が、法の規定（第三者提供の制限やオプトアウト手続き等）に違反していることを知りながら、その個人情報を取得する行為は、不正の手段による取得（不適正取得）に該当します。
この問題の解説ページを開く →正解：C．事業者が確認・記録義務を怠って個人情報を取得し、後にその情報が漏えい品等であることが発覚した場合、不正の手段により取得したと判断される可能性がある。
確認・記録義務は、流通する個人データの適法性を担保するためのものです。この義務を怠り、結果として不正な情報を取得していた場合、安全管理措置義務違反や不正取得と判断される可能性があります。
この問題の解説ページを開く →正解：B．本人から契約書等の書面（Web画面含む）に記載された個人情報を直接取得する場合を除き、個人情報を取得した場合は、速やかにその利用目的を本人に通知し、または公表しなければならない。
書面等で直接取得する場合（事前明示が必要）を除き、原則として個人情報を取得した場合は、「速やかに」利用目的を本人に通知または公表する必要があります。「あらかじめ」公表している場合も認められますが、事後の場合は速やかに行う必要があります。ホームページ掲載などは「公表」の手段として認められています。
この問題の解説ページを開く →正解：C．利用目的の明示は、原則として個人情報を取得する「あらかじめ」または「取得の際」に行わなければならず、取得後に通知するだけでは足りない。
本人から直接書面（電磁的記録を含む）で個人情報を取得する場合は、あらかじめ、または取得の際に、本人に対して利用目的を「明示」しなければなりません。口頭での取得は「直接書面」には当たらないため、事後の通知・公表でも可能です。リンクが分かりにくい場合などは適正な明示とは言えません。
この問題の解説ページを開く →正解：B．商談の際に相手方と名刺交換を行い、後日、業務上の連絡や時候の挨拶状を送るために名刺の情報を利用する場合。
名刺交換は、通常、業務上の連絡等に利用されることがお互いに明らかであるため、利用目的の通知・公表等が不要な「取得の状況からみて明らか」なケースの典型例とされています。その他の選択肢は、本人が想定する範囲を超えているか、明示が必要なケースです。
この問題の解説ページを開く →正解：C．社内での不正行為や犯罪行為の疑いがある従業員について調査を行う際、本人に利用目的（調査）を通知すると証拠隠滅や逃亡のおそれがあり、調査の遂行に支障を来す場合。
企業の正当な利益（内部調査による不正発見など）を守るために必要であり、本人に通知することでその目的が果たせなくなるような場合は、例外として通知・公表が免除されます。単なるコスト削減やクレーム回避は正当な理由になりません。
この問題の解説ページを開く →正解：C．インターネット上で本人が自ら公開しているブログ等から個人情報を取得した場合であっても、それを自社のデータベースに取り込んで利用する場合は、原則として利用目的の通知または公表が必要である。
「直接書面による取得」以外の方法（第三者提供、公知情報の閲覧、ネット上の公開情報の取得など）であっても、個人情報を取得した場合は、原則として速やかに利用目的を通知または公表する義務があります。公開情報だからといって義務が免除されるわけではありません。
この問題の解説ページを開く →正解：D．利用目的の特定および通知・公表
「個人情報」全般に適用される義務は、利用目的の特定、不適正利用の禁止、適正取得、利用目的の通知・公表などです。安全管理や第三者提供は「個人データ」に対する義務です。
この問題の解説ページを開く →正解：C．安全管理措置（従業者の監督、委託先の監督含む）
「個人データ」とは体系的に構成された情報を指すため、その管理に関する義務（安全管理措置、漏えい報告、第三者提供制限など）が課されます。A、B、Dは「個人情報」の段階から適用されます。
この問題の解説ページを開く →正解：A．個人データではないため、安全管理措置義務違反には問われないが、管理体制の不備として批判される可能性はある。
安全管理措置義務は「個人データ」を対象としています。データベース化されていない散在情報は「個人データ」ではないため、法の安全管理措置義務の直接の対象外です（ただし、適正な取扱い等の観点から管理は求められます）。
この問題の解説ページを開く →正解：B．事業者は、利用目的の達成に必要な範囲内において、個人データを正確かつ最新の内容に保つとともに、利用する必要がなくなったときは、当該個人データを遅滞なく消去するよう努めなければならない。
事業者は、利用目的の達成に必要な範囲内でデータを正確・最新に保つ努力義務と、利用不要となったデータを「遅滞なく消去」する努力義務を負います。不必要な長期保存は漏えいリスクを高めるため不適切です。
この問題の解説ページを開く →正解：C．事業者は、個人データの漏えい、滅失又は毀損の防止その他の個人データの安全管理のために、必要かつ適切な措置を講じなければならない。
安全管理措置は「漏えい」だけでなく「滅失（紛失など）」「毀損（破壊など）」の防止も対象です。また、その内容はガイドライン等で示されていますが、事業者の規模や性質に応じた「必要かつ適切な措置」が求められます。
この問題の解説ページを開く →正解：C．個人データの取扱いに関する責任者の設置や、漏えい等事案が発生した場合の報告連絡体制の整備。
責任者の設置、社内ルールの整備、報告体制の構築などは「組織的安全管理措置」に分類されます。Aは技術的、Bは人的、Dは物理的安全管理措置です。
この問題の解説ページを開く →正解：B．個人データについての秘密保持に関する事項を就業規則に盛り込むことや、従業者への教育・訓練。
従業者の教育、秘密保持契約（NDA）や就業規則への記載などは、人に起因するリスクへの対策である「人的安全管理措置」に該当します。
この問題の解説ページを開く →正解：C．事業者は、従業者に個人データを取り扱わせるに当たっては、当該個人データの安全管理が図られるよう、当該従業者に対し必要かつ適切な監督を行わなければならない。
「従業者」には正社員だけでなく、契約社員、パート、派遣社員、取締役なども含まれます。誓約書だけでなく、実質的な教育や監督が必要です。
この問題の解説ページを開く →正解：C．委託元は、委託先において個人データの安全管理が図られるよう、委託先に対する必要かつ適切な監督を行わなければならない。
委託元は、委託先（受託者）が適切な安全管理措置を講じているかを選定時に確認し、契約後も定期的に状況を把握するなど、「必要かつ適切な監督」を行う義務があります。
この問題の解説ページを開く →正解：A．要配慮個人情報が含まれる個人データの漏えい等が発生し、又は発生したおそれがある場合。
要配慮個人情報が含まれる漏えい、不正アクセスによる漏えい、財産的被害のおそれがある漏えい、および1,000人を超える漏えい等は、委員会への報告義務が生じます。高度な暗号化がなされている場合（B）は報告義務の対象外となることがあります。
この問題の解説ページを開く →正解：B．まずは事態を知った後、速やかに速報を行い、その後、原則30日以内（不正の目的によるものは60日以内）に確報を行わなければならない。
報告は、速報（速やかな報告）と確報（詳細な報告）の2段階で行うことが基本です。確報の期限は原則30日以内で、不正の目的による場合は60日以内とされます。
この問題の解説ページを開く →正解：B．本人の連絡先が不明であるなど、本人への通知が困難な場合は、事案の公表など本人の権利利益を保護するために必要な代替措置を講ずればよい。
原則として本人への通知が必要ですが、連絡先不明などで通知が困難な場合は、公表や問合せ窓口の設置などの「代替措置」が認められています。
この問題の解説ページを開く →正解：B．漏えいのおそれが生じた時点で、直ちにネットワークからの遮断やサービスの停止などの被害拡大防止措置を講じるとともに、事実関係の調査を開始する。
「おそれ」がある段階で、速やかに被害拡大防止措置（遮断等）や調査を行う必要があります。また、不正アクセスによる漏えいは報告対象事態となります。
この問題の解説ページを開く →正解：B．テレワークに関する社内ルールを策定し、データの持ち出し制限やセキュリティ対策（のぞき見防止、暗号化通信等）を講じた上で実施させる。
テレワーク等の外部環境においても、事業者は安全管理措置を講じる義務があります。適切なルール作りと技術的・物理的対策が必要です。
この問題の解説ページを開く →正解：C．再委託を行うには、通常、委託元の事前の同意や承諾が必要とされ、委託元は間接的に（委託先を通じて）再委託先の監督を行う必要がある。
再委託は禁止されていませんが、委託元は「委託先が再委託先を適切に監督しているか」を監督する義務があります（間接的な監督）。通常、契約等で再委託の可否や条件を定めます。
この問題の解説ページを開く →正解：A．漏えいした本人の数が1,000人を超える場合は、内容にかかわらず報告対象事態となる。
本人の数が1,000人を超える漏えい等は、それ自体で報告対象事態となります。また、本人通知についても原則として必要とされます。
この問題の解説ページを開く →正解：B．委託元は、委託先に対する監督義務違反として、法的責任や社会的責任を問われる可能性がある。
委託先が漏えいを起こした場合、委託元が必要かつ適切な監督を行っていなければ、委託元も法的な責任（法25条違反等）を問われます。契約書の文言だけで公法上の監督義務は免責されません。
この問題の解説ページを開く →正解：C．ランサムウェアによる被害は「不正アクセス」によるものであり、データの毀損（可用性の侵害）や漏えいのおそれがあるため、報告対象事態となる可能性が高い。
ランサムウェア感染は不正アクセスによるものであり、データの外部流出（漏えい）のおそれや、データの破壊（毀損）に該当するため、通常は報告対象事態となります。
この問題の解説ページを開く →正解：B．「漏えい等の報告」義務は、個人データに対して適用される。
漏えい等の報告は「個人データ」に関する義務です。Aは個人情報全般、Cは個人データのみ、Dは保有個人データ（権限あるもの）のみが対象です。
この問題の解説ページを開く →