正解：イ
各選択肢の解説
ア氏名が含まれていないので個人情報には当たらず、利用目的を特定する必要もない。
誤り。「氏名が書かれていなければ個人情報ではない」という典型的な誤解です。 個人情報かどうかは、その情報だけを見て決まるのではなく、社内にある他の情報と 結び付けて個人を特定できる状態かどうかまで含めて判断します。
イ会員名簿と容易に照合でき特定の個人を識別できるため、個人情報として取り扱う。
正解。個人情報の定義には「他の情報と容易に照合することができ、それにより 特定の個人を識別することができるもの」が含まれます。社内で会員番号と氏名を 突き合わせられる以上、閲覧履歴も個人情報として扱う必要があります。
ウ実際に氏名と結び付けた時点で個人情報になり、それまでは個人情報に当たらない。
誤り。判断の基準は「照合したかどうか」ではなく「容易に照合できる状態かどうか」 です。名簿を実際に開かなくても、社内の通常の業務で突き合わせられるなら、 記録した時点ですでに個人情報として保護の対象になります。
エ復元できないよう加工された匿名加工情報に当たり、本人の同意なく提供できる。
誤り。これは匿名加工情報の説明です。匿名加工情報は特定の個人を識別できず元に 復元もできないよう加工したものを指します。会員番号と氏名の対応表が手元に残って いる状態は復元可能なので、匿名加工情報とはいえません。
理解を深めるために
名簿とつながるなら、番号だけでも個人情報
学校の出席番号を思い出してください。「3年2組の15番が遅刻」というメモは、それだけ 見れば誰のことか分かりません。しかし職員室に名簿があれば、めくるだけで名前が分かり ます。このときそのメモは、すでに個人を特定できる情報として扱うべきです。 個人情報保護法の考え方もこれと同じで、氏名の有無ではなく、手元の情報とつなげて 個人にたどり着けるかどうかで判断します。
「容易に照合することができ」の意味
個人情報保護法は、生存する個人に関する情報のうち、次のいずれかに当たるものを個人情報 としています。
- 氏名、生年月日その他の記述等により特定の個人を識別できるもの
- 他の情報と容易に照合することができ、それにより特定の個人を識別できるもの
- 個人識別符号が含まれるもの
2つ目がこの問題の論点です。ポイントは「実際に照合したか」ではなく「照合できる状態か」 である点。同じ社内のシステムやファイルを見れば突き合わせられるなら、容易に照合できる と判断されます。逆に、照合に必要な情報を第三者が持っていて自社からは入手できない、 といった場合は容易とはいえません。仮IDに置き換えただけで「これで個人情報ではなく なった」と考えるのは危険だ、と覚えておけば十分です。
混同しやすいものとの違い
| 用語 | 中身 |
|---|---|
| 個人情報（容易照合性） | 他の情報と容易に照合して個人を識別できるものも含む |
| 個人識別符号 | 指紋データや旅券番号など、それ単体で個人を識別できる符号 |
| 匿名加工情報 | 個人を識別できず復元もできないよう加工した情報 |
| 仮名加工情報 | 他の情報と照合しなければ個人を識別できないよう加工した情報 |
試験では「IDだけの履歴」「顧客番号だけの購買データ」といった形で問われます。 社内に対応表があるか、を探すのが解き方です。