課題Ⅰ 第５編 個人関連情報に関する義務（法31条）
個人関連情報とは、法2条7項において、生存する個人に関する情報であって、個人情報、仮名加工情報、匿名加工情報のいずれにも該当しないものと定義されている。つまり、特定の個人を識別できない情報でありながら、個人に「関する」情報である点がポイントとなる。
Personal-related information is defined in Article 2, Paragraph 7 as information relating to a living individual that does not fall under personal information, pseudonymized information, or anonymized information. The key point is that while it cannot identify a specific individual, it is still information that "relates to" an individual.
具体的な例と潜在的危険性
具体的な例としては、クッキーID、閲覧履歴、購買履歴、位置情報、端末情報、アプリ利用履歴、興味・関心プロフィールなどが挙げられる。これらは単体では特定の個人を識別できないため「個人情報」には当たらないが、他の情報と組み合わせることで個人を特定できる潜在的な危険性がある。
Specific examples include cookie IDs, browsing history, purchase history, location data, device information, app usage history, and interest/preference profiles. Because these cannot identify a specific individual on their own, they do not constitute "personal information" — but they carry a potential risk of identifying individuals when combined with other information.
規制導入の背景：リクナビ事件
この概念が法律に導入された背景には、2019年に大きな社会問題となった「リクナビ事件」がある。就職情報サイト「リクナビ」を運営するリクルートキャリア社は、学生のクッキー情報やサイト閲覧履歴をAIで分析し、内定辞退率（内定を辞退する確率）を算出するスコアを開発した。このスコアは、学生本人の同意を得ることなく、採用活動を行う企業に販売されていた。
The background to this concept being introduced into law was the "Rikunabi incident," which became a major social issue in 2019. Recruit Career, which operated the job-hunting site "Rikunabi," used AI to analyze students' cookie data and site browsing history to develop scores calculating the job-offer-decline rate (the probability a student would decline an informal job offer). These scores were sold to companies conducting recruitment activities without obtaining consent from the students themselves.
問題の核心は、クッキー情報単体では個人情報に該当しなかったため、当時の個人情報保護法では規制する手段がなかった点にある。リクルートキャリア側ではクッキーIDと個人が紐付いていなかったが、提供を受けた企業側では応募者の氏名と照合して個人データになっていた。この「法の隙間」が露呈したことが、法改正の直接の契機となった。
The crux of the problem was that cookie data alone did not constitute personal information, so the Personal Information Protection Act at the time had no means to regulate this practice. On Recruit Career's side, cookie IDs were not linked to individuals, but on the receiving companies' side, the data was cross-referenced with applicants' names to become personal data. The exposure of this "gap in the law" became the direct trigger for the amendment.
2020年改正による法31条の新設
この反省を踏まえ、2020年改正（2022年4月施行）で新たに法31条が設けられ、個人関連情報の第三者提供に関する規定が新設された。これにより、リクナビ事件のような事案に対応できる法的枠組みが整備された。
Based on this reflection, the 2020 amendment (enforced April 2022) newly established Article 31, creating provisions regarding the third-party provision of personal-related information. This put in place a legal framework capable of addressing cases like the Rikunabi incident.
法31条：発動条件と義務の内容
法31条の規制が発動する条件は、個人関連情報を第三者に提供する際に、その第三者が当該個人関連情報を個人データとして取得することが「想定される」場合である。すなわち、受領側が他の情報と照合して特定の個人を識別できる状態にすることが見込まれる場合に、この規制が適用される。
The trigger condition for Article 31's regulation is when personal-related information is provided to a third party and it is "expected" that the third party will acquire it as personal data. In other words, the regulation applies when it is anticipated that the receiving side will cross-reference it with other information to reach a state where specific individuals can be identified.
ここで重要なのは、「想定される」の解釈である。提供元が実際に知っている場合だけでなく、通常の判断力を持つ事業者であれば合理的に予見できる場合も含まれる。例えば、提供先が会員データベースを保有していることを知っている場合や、クッキー同期の仕組みを利用する場合は、当然に「想定される」と判断される。
What is important here is the interpretation of "expected." This includes not only cases where the provider actually knows, but also cases where a business operator with ordinary judgment could reasonably foresee it. For example, if the provider knows that the recipient possesses a member database, or if they use a cookie synchronization mechanism, it is naturally judged as "expected."
法31条1項1号により、提供元の事業者は、提供先の第三者が本人の同意を得ていることを確認する義務を負う。ここで注意すべきは、同意を取得するのは提供元ではなく提供先の第三者である点である。提供元の義務は、あくまで同意取得の「確認」である。
Under Article 31, Paragraph 1, Item 1, the providing business operator bears a duty to confirm that the receiving third party has obtained consent from the individual. The critical point to note here is that the party obtaining consent is the receiving third party, not the provider. The provider's duty is strictly one of "confirmation" that consent has been obtained.
提供先が外国にある第三者の場合には、追加の要件がある（法31条1項2号）。この場合、提供元は、法28条に相当する措置が講じられていることも確認しなければならない。すなわち、外国の第三者が適切な保護体制を整備しているか確認する義務が加わる。
When the receiving third party is located in a foreign country, there are additional requirements (Article 31, Paragraph 1, Item 2). In this case, the provider must also confirm that measures equivalent to Article 28 have been taken. That is, a duty is added to confirm that the foreign third party has established an appropriate protection system.
ガイドラインの解釈によれば、「提供」の概念は広く捉えられている。APIを通じたデータ連携、タグ・クッキー同期（クッキーシンク）による情報の受け渡し、第三者がウェブサイトに設置したタグを通じて情報を収集させる行為なども、法31条の「提供」に該当し得る。技術的な手段を問わず、実質的に個人関連情報が第三者に渡る場合は対象となる。
According to the guidelines' interpretation, the concept of "provision" is interpreted broadly. Data linkage through APIs, information handover through tag/cookie synchronization (cookie sync), and acts of allowing third parties to collect information through tags installed on websites can all constitute "provision" under Article 31. Regardless of the technical means, cases where personal-related information substantively transfers to a third party are subject to the regulation.
確認・記録義務
提供元の事業者が確認すべき事項は、主に二つある。第一に、提供先の第三者が本人の同意を取得していること。第二に、第三者が例外事由に該当する場合はその旨。確認の方法としては、提供先から申告を受けることが一般的である。
There are mainly two matters the providing business operator must confirm. First, that the receiving third party has obtained the individual's consent. Second, if the third party falls under an exception, that fact. As for the method of confirmation, it is typical to receive a declaration from the receiving party.
また、提供元には記録作成・保存の義務も課される。記録すべき事項は、提供した年月日、提供先の第三者の氏名（法人の場合は名称）、提供した個人関連情報の項目である。保存期間は法29条の第三者提供記録と同様の枠組みに従う。
Additionally, the provider is also imposed with a duty to create and preserve records. The matters to be recorded are: the date of provision, the name of the receiving third party (or corporate name in the case of a corporation), and the items of personal-related information provided. The retention period follows the same framework as the third-party provision records under Article 29.
法27条との構造的比較
法27条（通常の個人データの第三者提供）と法31条の構造的な違いを理解することが試験対策の鍵となる。法27条では、提供元自身が本人の同意を取得する。法31条では、同意取得の主体は提供先であり、提供元はその確認を行う。この違いは、個人関連情報が提供元の段階では個人を特定できないため、提供元が本人に同意を求めること自体が不可能であることに起因する。
Understanding the structural difference between Article 27 (ordinary third-party provision of personal data) and Article 31 is the key to exam preparation. Under Article 27, the provider itself obtains the individual's consent. Under Article 31, the party obtaining consent is the receiver, and the provider conducts the confirmation. This difference originates from the fact that at the provider's stage, personal-related information cannot identify individuals, making it impossible for the provider to request consent from the individual in the first place.
DMP（データ・マネジメント・プラットフォーム）事業者は、法31条の主要な適用対象である。DMP事業者は、ウェブサイト閲覧履歴や購買履歴などの個人関連情報を大量に蓄積し、広告配信などの目的で第三者に提供する。提供先の企業が自社の顧客データと結合すれば個人データとなるため、まさに法31条が想定する場面に該当する。
DMP (Data Management Platform) operators are the primary target of Article 31. DMP operators accumulate large volumes of personal-related information such as website browsing history and purchase history, and provide it to third parties for purposes like advertising distribution. Because it becomes personal data when the receiving companies combine it with their own customer data, this is precisely the scenario Article 31 envisions.
試験の頻出ポイント
試験では、以下の三つの論点が頻出する。第一に、法31条と法27条の構造的な違い（誰が同意を取得するか）。第二に、この規定が設けられた契機（リクナビ事件）。第三に、義務が発生する条件（受領側が個人データを作成することが「想定される」場合）。これらの論点を正確に押さえておくことが合格への近道である。
Three issues frequently appear on the exam. First, the structural difference between Article 31 and Article 27 (who obtains consent). Second, the trigger for establishing this provision (the Rikunabi incident). Third, the condition under which the obligation arises (when it is "expected" that the receiving side will create personal data). Accurately grasping these points is the shortcut to passing.