課題Ⅰ 第１編 個人情報保護の法体系と各種認定制度
個人情報保護の国際的な出発点は、1980年に経済協力開発機構（OECD）が採択した「プライバシー保護と個人データの国際流通についてのガイドライン」である。このガイドラインは以下の8つの原則を定めた。（1）収集制限の原則（Collection Limitation）：個人データの収集は適法かつ公正な手段で、本人の同意を得て行う。（2）データ内容の原則（Data Quality）：利用目的に必要な範囲で正確・完全・最新に保つ。（3）目的明確化の原則（Purpose Specification）：収集時までに利用目的を明確にする。（4）利用制限の原則（Use Limitation）：明確化された目的以外に使用しない。（5）安全保護の原則（Security Safeguards）：合理的な安全保護措置を講じる。（6）公開の原則（Openness）：データに関する方針を公開する。（7）個人参加の原則（Individual Participation）：本人が自己のデータにアクセス・訂正・削除を求める権利を持つ。（8）責任の原則（Accountability）：データ管理者が上記原則の遵守に責任を負う。
The international starting point for personal information protection is the "Guidelines on the Protection of Privacy and Transborder Flows of Personal Data" adopted by the Organisation for Economic Co-operation and Development (OECD) in 1980. These guidelines established the following eight principles: (1) Collection Limitation Principle: personal data should be collected by lawful and fair means, with the consent of the data subject. (2) Data Quality Principle: data should be kept accurate, complete, and up-to-date within the scope necessary for the purpose of use. (3) Purpose Specification Principle: the purpose of use should be clarified at the time of collection. (4) Use Limitation Principle: data should not be used for purposes other than those specified. (5) Security Safeguards Principle: reasonable security safeguards should be taken. (6) Openness Principle: policies regarding data should be disclosed. (7) Individual Participation Principle: data subjects have the right to access, correct, and delete their own data. (8) Accountability Principle: data controllers bear responsibility for compliance with the above principles.
OECD8原則は法的拘束力を持たない勧告であるが、世界各国の個人情報保護法制の基盤となった。日本の個人情報保護法も、これら8原則を反映した構成になっている。例えば、収集制限の原則は法第17条の適正な取得、目的明確化の原則は第17条第1項の利用目的の特定、安全保護の原則は第23条の安全管理措置にそれぞれ対応している。試験では「OECD8原則のうちどれが日本法のどの条文に対応するか」が問われることがあるため、8原則の名称と内容は正確に暗記すべきである。
The OECD 8 Principles are a recommendation without legal binding force, but they became the foundation for personal information protection legislation in countries around the world. Japan's Personal Information Protection Act also has a structure reflecting these 8 principles. For example, the Collection Limitation Principle corresponds to proper acquisition under Article 17, the Purpose Specification Principle corresponds to specification of purpose of use under Article 17(1), and the Security Safeguards Principle corresponds to safety management measures under Article 23. Because the exam may ask "which OECD principle corresponds to which article of Japanese law," the names and content of all 8 principles should be memorized accurately.
EU指令・GDPRの影響と日EU相互認証
1995年にEU（欧州連合）は「データ保護指令」（Directive 95/46/EC）を採択した。この指令は、十分な保護水準を有さない第三国への個人データの移転を原則禁止するという十分性認定の仕組みを導入し、各国に法整備を促した。2018年にはこれを発展させた「一般データ保護規則」（GDPR: General Data Protection Regulation）が施行された。GDPRは全EU加盟国に直接適用される規則であり、域外適用条項を持つため、EU域内の個人データを扱う日本企業にも影響を及ぼす。違反時の制裁金は最大で全世界売上高の4%又は2,000万ユーロのいずれか高い方と規定され、極めて厳格である。
In 1995, the EU adopted the "Data Protection Directive" (Directive 95/46/EC). This directive introduced the mechanism of adequacy decisions, which in principle prohibit the transfer of personal data to third countries that do not have a sufficient level of protection, urging countries to develop their legislation. In 2018, the "General Data Protection Regulation" (GDPR) came into force as its successor. The GDPR is a regulation directly applicable in all EU member states and has extraterritorial application provisions, meaning it also affects Japanese companies that handle personal data of individuals within the EU. Penalties for violations are stipulated as the higher of up to 4% of worldwide annual revenue or 20 million euros, making it extremely strict.
2019年1月23日、日本と欧州連合の間で相互の十分性認定（日EU相互認証）が発効した。これにより、日本はGDPR第45条に基づく十分性認定を受けた国の一つとなり、EU域内から日本への個人データの移転が原則として認められるようになった。同時に、日本の個人情報保護委員会もEUを個人データの移転先として認めた。ただし、日本の事業者がEUからデータを受領する際には、「補完的ルール」に従う必要がある。補完的ルールでは、要配慮個人情報の範囲をGDPRの「特別カテゴリーデータ」と同等に拡大すること、保有個人データの保存期間の制限を撤廃すること、匿名加工情報の取り扱いに追加条件を付すことなどが求められる。
On January 23, 2019, the mutual adequacy decision between Japan and the EU (Japan-EU mutual recognition) took effect. This made Japan one of the countries that received an adequacy decision under Article 45 of the GDPR, allowing the transfer of personal data from within the EU to Japan in principle. At the same time, Japan's Personal Information Protection Commission also recognized the EU as a valid transfer destination for personal data. However, when Japanese business operators receive data from the EU, they must comply with "Supplementary Rules." The Supplementary Rules require expanding the scope of special care-required personal information to be equivalent to GDPR's "special category data," abolishing the retention period limitation for retained personal data, and adding extra conditions for the handling of anonymously processed information.
日本の個人情報保護法制の変遷
日本の個人情報保護法制は、段階的に発展してきた。1988年、行政機関を対象に「行政機関の保有する電子計算機処理に係る個人情報の保護に関する法律」が制定された。これは行政機関がコンピュータで処理する個人情報のみを対象とし、民間事業者は含まれなかった。2003年に成立した個人情報保護法（2005年全面施行）は、民間事業者を含む包括的な法律であり、基本理念（第1章）と民間事業者の義務（第4章）を定めた。ただし、当初は「5,000件要件」があり、取り扱う個人情報が5,000件以下の小規模事業者は適用除外であった。
Japan's personal information protection legal system has developed in stages. In 1988, the "Act on the Protection of Personal Information Held by Administrative Organs in Computer Processing" was enacted targeting administrative organs. This covered only personal information processed by computers at administrative organs and did not include private-sector business operators. The Personal Information Protection Act enacted in 2003 (fully enforced in 2005) was a comprehensive law covering private-sector business operators, establishing basic principles (Chapter 1) and obligations of private-sector business operators (Chapter 4). However, initially there was a "5,000 record requirement," and small-scale business operators handling 5,000 or fewer personal information records were excluded from application.
2015年改正（2017年全面施行）は大幅な見直しであった。主な改正点は以下の通りである。第1に、個人情報保護委員会の設置である。従来は各省庁が所管業界を監督する「共管」体制であったが、独立した監督機関に一元化された。第2に、「要配慮個人情報」の新設である。人種、信条、社会的身分、病歴、犯罪の経歴、犯罪被害情報などがこれに該当し、取得に原則として本人の同意が必要となった。第3に、「匿名加工情報」の制度創設である。第4に、5,000件要件の撤廃により、全ての事業者が法の適用対象となった。第5に、個人情報の定義が明確化され、「個人識別符号」が新設された。
The 2015 amendment (fully enforced in 2017) was a major overhaul. The main amendments were as follows. First, the establishment of the Personal Information Protection Commission. Previously, each ministry supervised its jurisdictional industry under a "joint jurisdiction" system, but this was unified into an independent supervisory authority. Second, the creation of "special care-required personal information." This includes race, creed, social status, medical history, criminal record, and crime victimization information, and obtaining such data now in principle requires the consent of the individual. Third, the creation of the "anonymously processed information" system. Fourth, the abolition of the 5,000-record requirement made all business operators subject to the law. Fifth, the definition of personal information was clarified, and "personal identification codes" were newly established.
2020年改正（2022年4月施行）では、個人の権利がさらに強化された。利用停止・消去請求権の要件が緩和され、従来は「目的外利用」や「不正取得」の場合に限定されていたが、「本人の権利又は正当な利益が害されるおそれがある場合」にも認められるようになった。また、「仮名加工情報」が創設され、匿名加工情報よりも加工の程度が低いが、内部分析用途に限り利用できるカテゴリーとして導入された。漏えい報告が義務化され、個人情報保護委員会への報告と本人への通知が必要となった（要配慮個人情報の漏えい、1,000件超の漏えいなど一定の場合）。さらに、法定刑の引き上げ（法人に対する罰金最大1億円）も行われた。
The 2020 amendment (enforced April 2022) further strengthened individual rights. The requirements for the right to request suspension of use and deletion were relaxed—previously limited to cases of "use beyond the purpose" or "improper acquisition," they now also apply when "the rights or legitimate interests of the individual are likely to be harmed." Additionally, "pseudonymously processed information" was created—a category with a lower degree of processing than anonymously processed information, introduced for use limited to internal analysis. Breach reporting was made mandatory, requiring reporting to the Personal Information Protection Commission and notification to the individual (in certain cases such as leakage of special care-required personal information or leakage exceeding 1,000 records). Furthermore, statutory penalties were raised (maximum fine of 100 million yen for corporations).
2021年改正（2022年4月施行）は「三法統合」と呼ばれ、個人情報保護法制の一元化を実現した。従来は（1）個人情報保護法（民間）、（2）行政機関個人情報保護法、（3）独立行政法人等個人情報保護法の3つの法律が並立していたが、これらが一本の法律に統合された。地方公共団体（自治体）も個人情報保護法の適用対象に含まれることになり、全国統一の規律が適用されるようになった（2023年4月施行）。
The 2021 amendment (enforced April 2022) is called the "Three-Law Integration" and achieved the unification of the personal information protection legal system. Previously, three separate laws coexisted: (1) the Personal Information Protection Act (private sector), (2) the Administrative Organs Personal Information Protection Act, and (3) the Incorporated Administrative Agencies Personal Information Protection Act. These were integrated into a single law. Local public entities (municipalities) were also brought under the Personal Information Protection Act, and nationwide uniform rules became applicable (enforced April 2023).
現行法の構造：本則・政令・規則・ガイドライン
現行の個人情報保護法は本則と附則で構成される。本則は第1章「総則」（目的・定義）、第2章「国及び地方公共団体の責務等」、第3章「個人情報の保護に関する施策」、第4章「個人情報取扱事業者等の義務等」（最も試験に出る章）、第5章「行政機関等の義務等」、第6章「個人情報保護委員会」、第7章「雑則」、第8章「罰則」で構成される。法の下位規範として、政令（施行令）は法律の委任に基づき内閣が制定し、施行規則は個人情報保護委員会が定める。さらにその下にガイドラインが位置づけられ、実務上の詳細な解釈を提供する。
The current Personal Information Protection Act consists of main provisions and supplementary provisions. The main provisions are structured as follows: Chapter 1 "General Provisions" (purpose and definitions), Chapter 2 "Responsibilities of the National and Local Public Entities," Chapter 3 "Measures Related to Personal Information Protection," Chapter 4 "Obligations of Personal Information Handling Business Operators" (the chapter most tested on the exam), Chapter 5 "Obligations of Administrative Organs," Chapter 6 "Personal Information Protection Commission," Chapter 7 "Miscellaneous Provisions," and Chapter 8 "Penal Provisions." As subordinate norms below the law, the Cabinet Order (Enforcement Order) is enacted by the Cabinet based on delegation from the law, and the Enforcement Rules are determined by the Personal Information Protection Commission. Guidelines are positioned further below, providing detailed practical interpretations.
個人情報保護委員会の組織と権限
個人情報保護委員会は、2016年1月に発足した、内閣府の外局たる独立行政委員会（いわゆる「三条委員会」）である。委員長1名と委員8名の計9名で構成され、委員長・委員は両議院の同意を得て内閣総理大臣が任命する。任期は5年である。独立性が極めて重視され、職権行使の独立性が法律で保障されている。主な権限は：（1）報告徴収・立入検査（第143条）、（2）指導・助言（第144条）、（3）勧告（第145条）、（4）命令（第145条）である。命令違反には刑事罰が科される。
The Personal Information Protection Commission is an independent administrative commission (a so-called "Article 3 Commission"), an external bureau of the Cabinet Office, inaugurated in January 2016. It is composed of a total of 9 persons: 1 chairperson and 8 members. The chairperson and members are appointed by the Prime Minister with the consent of both houses of the Diet. The term of office is 5 years. Independence is extremely emphasized, and independence in the exercise of authority is guaranteed by law. Main powers include: (1) collection of reports and on-site inspections (Article 143), (2) guidance and advice (Article 144), (3) recommendations (Article 145), and (4) orders (Article 145). Violations of orders are subject to criminal penalties.
4つのガイドラインの体系
個人情報保護委員会は4つのガイドラインを公表している。（1）「通則編」：法全体の基本的な解釈を示す。個人情報の定義、利用目的の特定、安全管理措置、第三者提供、開示請求等を網羅的に解説する。（2）「外国にある第三者への提供編」：法第28条に基づく外国への個人データ移転の要件を規定する。本人の同意、基準に適合する体制の整備、又は日本と同等の保護水準の国への移転が要件となる。（3）「第三者提供時の確認・記録義務編」：提供元・提供先の双方が記録を作成・保存する義務を詳述する。名簿屋対策として2015年改正で導入された。（4）「仮名加工情報・匿名加工情報編」：加工の基準、取り扱いルール、安全管理措置などを定める。試験では4つのガイドラインの名称と対象範囲が問われるため、正確に区別できるようにしておくこと。
The Personal Information Protection Commission publishes four guidelines. (1) "General Rules Edition": provides the basic interpretation of the entire law. It comprehensively explains the definition of personal information, specification of purpose of use, safety management measures, third-party provision, disclosure requests, etc. (2) "Provision to Third Parties in Foreign Countries Edition": stipulates the requirements for transferring personal data to foreign countries based on Article 28 of the law. Requirements include the consent of the individual, establishing a system conforming to standards, or transfer to a country with an equivalent level of protection to Japan. (3) "Confirmation and Record Obligations at the Time of Third-Party Provision Edition": details the obligation for both the provider and recipient to create and retain records. This was introduced in the 2015 amendment as a countermeasure against name list brokers. (4) "Pseudonymously Processed Information and Anonymously Processed Information Edition": determines processing standards, handling rules, and safety management measures. Since the exam tests the names and scope of all four guidelines, be sure you can distinguish them accurately.
関連法の詳細：マイナンバー法・不正アクセス禁止法・不正競争防止法等
マイナンバー法（「行政手続における特定の個人を識別するための番号の利用等に関する法律」）は、個人情報保護法の特別法に位置づけられる。特定個人情報（マイナンバーを含む個人情報）の取り扱いには、個人情報保護法よりも厳格な制限がある。マイナンバーの利用範囲は社会保障・税・災害対策の3分野に法定されており、目的外利用は原則禁止である。特定個人情報の提供も情報提供ネットワークシステムを通じた場合等に限定される。違反には個人情報保護法よりも重い罰則が科される（最大4年以下の懲役又は200万円以下の罰金）。
The My Number Act ("Act on the Use of Numbers to Identify Specific Individuals in Administrative Procedures") is positioned as a special law to the Personal Information Protection Act. The handling of specific personal information (personal information containing My Number) is subject to stricter limitations than the Personal Information Protection Act. The scope of My Number use is legally limited to three fields: social security, taxation, and disaster countermeasures, and use beyond the purpose is prohibited in principle. Provision of specific personal information is also limited to cases through the Information Provision Network System. Violations are subject to heavier penalties than the Personal Information Protection Act (maximum imprisonment of up to 4 years or a fine of up to 2 million yen).
その他の関連法も試験で頻出である。「不正アクセス禁止法」は、他人の識別符号（ID・パスワード）を用いた不正行為やセキュリティホールを攻撃する行為を禁止する。注意すべきは、不正アクセス禁止法はアクセス制御機能を有するコンピュータに対する不正アクセスのみを対象とし、アクセス制御機能のないコンピュータは対象外である点だ。「不正競争防止法」は営業秘密の保護を定める。営業秘密の3要件は極めて重要で、（ア）秘密管理性（秘密として管理されていること）、（イ）有用性（事業活動に有用であること）、（ウ）非公知性（公然と知られていないこと）の3つを全て満たす必要がある。
Other related laws are also frequently tested on the exam. The "Unauthorized Access Prohibition Act" prohibits unauthorized acts using another person's identification codes (ID and password) and attacks exploiting security holes. An important point to note is that the Unauthorized Access Prohibition Act only covers unauthorized access to computers that have access control functions—computers without access control functions are outside its scope. The "Unfair Competition Prevention Act" provides for the protection of trade secrets. The three requirements for trade secrets are extremely important: (a) secrecy management (being managed as a secret), (b) usefulness (being useful for business activities), and (c) non-public knowledge (not being publicly known)—all three must be satisfied.
「電気通信事業法」は通信の秘密の保護を定める重要な法律である。第4条で通信の秘密を侵してはならないと規定し、違反には懲役又は罰金が科される。2022年改正では、利用者情報の外部送信に関する規律（いわゆる「Cookie規制」）が追加された。「刑法」の不正指令電磁的記録に関する罪（第168条の2・3）は、コンピュータウイルスの作成・提供・使用を処罰する。「特定電子メールの送信の適正化等に関する法律」（特定電子メール法）はオプトイン方式を採用し、事前同意なき広告メールの送信を禁止する。
The "Telecommunications Business Act" is an important law establishing the protection of communications secrecy. Article 4 provides that the secrecy of communications must not be violated, with violations subject to imprisonment or fines. The 2022 amendment added regulations on the external transmission of user information (so-called "Cookie regulations"). The Criminal Code's provisions on unauthorized electromagnetic records (Articles 168-2 and 168-3) punish the creation, provision, and use of computer viruses. The "Act on Regulation of Transmission of Specified Electronic Mail" (Specified Electronic Mail Act) adopts an opt-in method and prohibits the sending of advertising emails without prior consent.
プライバシーマーク制度とJIS Q 15001:2023
プライバシーマーク（Pマーク）制度は、JIS Q 15001:2023「個人情報保護マネジメントシステム—要求事項」に基づく認定制度である。一般財団法人日本情報経済社会推進協会（JIPDEC）が制度全体を運営し、審査はJIPDECまたは指定審査機関が行う。対象は国内に活動拠点を持つ事業者（法人単位）であり、個人や部門単位では取得できない。有効期間は2年で、更新の際は有効期間満了の8か月前から4か月前までに申請が必要である。Pマーク取得事業者は個人情報保護マネジメントシステム（PMS）を構築・運用し、全従業者への教育、内部監査、マネジメントレビューを実施する義務がある。
The Privacy Mark (P-Mark) system is a certification system based on JIS Q 15001:2023 "Personal Information Protection Management System—Requirements." The Japan Institute for Promotion of Digital Economy and Community (JIPDEC) operates the entire system, with examinations conducted by JIPDEC or designated examination bodies. The target is business operators with domestic activity bases (on a corporate unit basis), and it cannot be obtained by individuals or department-level units. The validity period is 2 years, and for renewal, the application must be submitted between 8 months and 4 months before the expiration of the validity period. P-Mark certified business operators are obligated to build and operate a Personal Information Protection Management System (PMS) and conduct education for all employees, internal audits, and management reviews.
ISMS認証制度（ISO/IEC 27001 / JIS Q 27001）
ISMS（情報セキュリティマネジメントシステム）適合性評価制度は、国際規格ISO/IEC 27001（国内規格JIS Q 27001）に基づく認証制度である。情報セキュリティの3要素（機密性・完全性・可用性：CIA）を維持・改善するための仕組みを構築することを求める。ISMSはPDCA（Plan-Do-Check-Act）サイクルに基づく継続的改善を重視し、リスクアセスメントにより組織固有のリスクを特定して対策を講じる。認証範囲は組織の特定の部門やサービス単位で取得できる（Pマークとの大きな違い）。有効期間は3年で、毎年維持審査（サーベイランス）が行われる。認証機関は認定機関（日本ではISMS-AC: 情報マネジメントシステム認定センター）により認定を受けた第三者機関が行う。
The ISMS (Information Security Management System) conformity assessment system is a certification system based on the international standard ISO/IEC 27001 (domestic standard JIS Q 27001). It requires building a mechanism to maintain and improve the three elements of information security (Confidentiality, Integrity, and Availability: CIA). ISMS emphasizes continuous improvement based on the PDCA (Plan-Do-Check-Act) cycle, identifying organization-specific risks through risk assessment and taking countermeasures. The certification scope can be obtained for specific departments or service units of an organization (a major difference from P-Mark). The validity period is 3 years, with annual maintenance audits (surveillance). Certification is performed by third-party organizations accredited by accreditation bodies (in Japan, ISMS-AC: Information Security Management System Accreditation Center).
Pマーク vs. ISMS：試験頻出の比較
Pマークと ISMSの違いは試験で最も頻出のテーマの一つである。対象範囲：Pマークは個人情報の保護に特化し、ISMSは情報セキュリティ全般（個人情報に限らない）を対象とする。準拠規格：PマークはJIS Q 15001（国内規格）、ISMSはISO/IEC 27001（国際規格）に準拠する。認証単位：Pマークは法人全体、ISMSは部門・サービス単位でも取得可能。有効期間：Pマークは2年、ISMSは3年。運営主体：PマークはJIPDEC、ISMSはISMS-ACが認定する複数の認証機関。審査頻度：Pマークは2年毎の更新審査のみ、ISMSは毎年の維持審査+3年毎の更新審査。国際的通用性：Pマークは日本国内のみ、ISMSは国際的に通用する。
The difference between P-Mark and ISMS is one of the most frequently tested themes on the exam. Scope: P-Mark specializes in personal information protection, while ISMS covers information security as a whole (not limited to personal information). Compliance standard: P-Mark complies with JIS Q 15001 (domestic standard), while ISMS complies with ISO/IEC 27001 (international standard). Certification unit: P-Mark applies to the entire corporation, while ISMS can be obtained at the department or service unit level. Validity period: P-Mark is 2 years, ISMS is 3 years. Operating body: P-Mark is operated by JIPDEC, while ISMS is certified by multiple certification bodies accredited by ISMS-AC. Audit frequency: P-Mark has renewal audits only every 2 years, while ISMS has annual maintenance audits plus renewal audits every 3 years. International validity: P-Mark is valid only within Japan, while ISMS is internationally recognized.
その他の認証制度：TRUSTe・SOC 2・ISO/IEC 27701
その他の認証・認定制度として以下がある。TRUSTe（トラストイー）は、ウェブサイトにおけるプライバシー保護の認証制度であり、主にオンラインでの個人情報の取り扱いに焦点を当てる。SOC 2（Service Organization Control 2）は、クラウドサービス提供者等の内部統制を評価する制度で、セキュリティ・可用性・処理の完全性・機密性・プライバシーの5つのトラストサービス基準に基づく。ISO/IEC 27701は、ISO/IEC 27001の拡張としてプライバシー情報マネジメントシステム（PIMS）を規定し、ISMSとPマークの橋渡しとなりうる国際規格である。試験ではPマークとISMSの比較が中心であるが、これらの制度の名称と概要も把握しておくとよい。
Other certification and accreditation systems include the following. TRUSTe is a certification system for privacy protection on websites, focusing primarily on the handling of personal information online. SOC 2 (Service Organization Control 2) is a system for evaluating the internal controls of cloud service providers and others, based on five trust service criteria: security, availability, processing integrity, confidentiality, and privacy. ISO/IEC 27701 is an international standard that specifies a Privacy Information Management System (PIMS) as an extension of ISO/IEC 27001, potentially serving as a bridge between ISMS and P-Mark. While the exam focuses mainly on the comparison between P-Mark and ISMS, it is also good to understand the names and overviews of these systems.
日EU相互認証と補完的ルール
日EU相互認証は、世界最大規模のデータ流通圏を形成した。この枠組みのもと、日本の個人情報保護委員会は「個人情報の保護に関する法律に係るEU域内から十分性認定により移転を受ける個人データの取扱いに関する補完的ルール」を策定した。試験では「日EU相互認証」の発効年（2019年）、補完的ルールの存在、そして十分性認定の意味（個人データの自由な移転が可能になること）が問われる。
The Japan-EU mutual recognition formed the world's largest data circulation sphere. Under this framework, Japan's Personal Information Protection Commission formulated the "Supplementary Rules under the Act on the Protection of Personal Information for the Handling of Personal Data Transferred from the EU Based on an Adequacy Decision." On the exam, questions may ask about the year the Japan-EU mutual recognition took effect (2019), the existence of supplementary rules, and the meaning of an adequacy decision (that the free transfer of personal data becomes possible).