2027年試験新シラバス対応・4-5

個人情報・プライバシー・秘密保持の一問一答

生成AIパスポート試験「生成AIのリスク予防・AI倫理・ガバナンス」から、個人情報・プライバシー・秘密保持に関する4択問題を10問。「答えと解説を見る」を開くと、正解とその理由がその場で読めます。会員登録は不要です。

この分野の演習

全10問／解説つき・基本無料

アプリ形式で解く（全410問）生成AIのリスク予防・AI倫理・ガバナンスの要点解説を読む

問題

上から順に解いてみてください。答えは各問の下で確認できます。本試験は四肢択一式（一部複数選択を含む）で出題されます。ここでは全て4択（正解は1つ）で出題しています。

問14-5

個人情報保護法における「個人情報」の説明として、最も適切なものを1つ選びなさい。

①生存する個人に関する情報で、氏名などで特定の個人を識別できるもの（個人識別符号を含むもの等）
②亡くなった人を含むすべての人に関する情報で、名前が書かれているものだけを指すとされる言葉のこと
③会社などの法人に関する情報で、所在地や代表者の名前が書かれているものを指すとされる言葉のこと
④本人が自分で公開した情報を除いた、まだ誰にも知られていない秘密の情報だけを指す言葉のこと

答えと解説を見る

正解 ①生存する個人に関する情報で、氏名などで特定の個人を識別できるもの（個人識別符号を含むもの等）

解説
個人情報保護法の「個人情報」は、生存する個人に関する情報であって、氏名・生年月日その他の記述等により特定の個人を識別できるもの（他の情報と容易に照合でき、それにより特定の個人を識別できるものを含む。第2条第1項第1号）、または個人識別符号が含まれるもの（同項第2号）をいいます。
亡くなった人の情報は原則として対象外であり、法人そのものの情報も個人情報ではありません。また、本人が公開している情報（例：ウェブに載っている氏名）であっても、特定の個人を識別できれば個人情報にあたります。

他の選択肢が不適切な理由
・亡くなった人を含み名前があるものだけ：個人情報は生存する個人に関するもので、名前以外の情報でも、個人を識別できれば該当します。
・法人に関する情報：法人そのものの情報は個人情報ではありません（役員などの個人の情報は個人情報になりえます）。
・公開していない秘密の情報だけ：公開されている情報でも、特定の個人を識別できれば個人情報です。

覚え方のポイント
個人情報＝「生きている人」の「誰か分かる」情報。秘密かどうかは関係ありません。

ひっかけ注意
「公開されている情報は個人情報ではない」は誤り。公開されていても、誰か分かれば個人情報です。

問24-5

個人情報保護法に関する次の記述a〜dのうち、適切なものの組合せを1つ選びなさい。
a．携帯電話の番号は、それだけで個人識別符号に当たる。
b．個人情報保護法の個人情報には、亡くなった人だけに関する情報も含まれる。
c．旅券（パスポート）の番号は、個人識別符号に当たる。
d．顔認証のために顔の特徴をデータに変換したものは、個人識別符号に当たる。

①a・c
②c・d
③a・b
④b・d

答えと解説を見る

正解 ②c・d

解説
cとdが適切です。
c：旅券（パスポート）の番号は、公的な番号として、個人識別符号に当たります。運転免許証の番号やマイナンバー（個人番号）なども同様です。
d：顔認証のために顔の特徴をデータに変換したもののように、体の特徴をコンピュータで使えるように変換した符号で、特定の個人を識別できるものも、個人識別符号に当たります。個人識別符号を含む情報は、それだけで個人情報になります。

誤っている記述
・a：携帯電話の番号は、契約者が変わることなどから、それだけでは個人識別符号に当たらないと整理されています。ただし、氏名など他の情報と組み合わさって特定の個人を識別できる場合は、個人情報に当たります。
・b：個人情報保護法の個人情報は、生存する個人に関する情報です（第2条第1項）。ただし、亡くなった人の情報が、生存する遺族などの個人情報に当たる場合はあります。

覚え方のポイント
個人識別符号＝「それだけで本人が分かる番号・体の特徴」。携帯番号は入らない。

問34-5

個人情報保護法の「要配慮個人情報」についての説明として、最も適切なものを1つ選びなさい。

①氏名や生年月日を含み、取得には必ず本人の書面による同意が必要な個人情報
②本人の氏名と住所だけを含み、本人の同意がなくても自由に取得できる個人情報
③病歴や犯罪の経歴などを含み、取得には原則として本人の同意が必要な個人情報
④公開されている情報だけを含み、取得や利用に一切の制限がないとされる個人情報

答えと解説を見る

正解 ③病歴や犯罪の経歴などを含み、取得には原則として本人の同意が必要な個人情報

解説
要配慮個人情報とは、本人の人種、信条、社会的身分、病歴、犯罪の経歴、犯罪により害を被った事実など、本人に対する不当な差別や偏見などの不利益が生じないよう、取扱いに特に配慮を要する個人情報です（第2条第3項）。
要配慮個人情報は、法令に基づく場合などの例外を除き、あらかじめ本人の同意を得ないで取得してはならないとされています（第20条第2項）。生成AIへの入力でも、特に慎重な扱いが必要です。

他の選択肢が不適切な理由
・氏名と住所だけ：要配慮個人情報は、病歴や犯罪の経歴など、不当な差別や偏見が生じないよう特に配慮を要する情報です。
・氏名や生年月日で書面の同意が必要：氏名や生年月日は要配慮個人情報にあたりません。また、同意の方法を書面に限る決まりもありません。
・公開されている情報だけ：要配慮個人情報の定義ではありません。

覚え方のポイント
要配慮個人情報＝「差別や偏見につながりうる情報（人種・信条・病歴・犯罪歴など）」。取得は原則、本人の同意が必要。

問44-5

個人情報保護法の第三者提供の制限（第27条）に関する記述として、適切でないものを1つ選びなさい。

①第三者提供の制限の対象となるのは、個人情報データベース等を構成する個人データである。
②法令に基づく場合は、本人の同意がなくても、個人データを第三者に提供できる。
③人の生命や財産の保護に必要で、本人の同意を得るのが困難なときも例外になる。
④個人データの取扱いを委託して渡す場合も、第三者提供として本人の同意が要る。

答えと解説を見る

正解 ④個人データの取扱いを委託して渡す場合も、第三者提供として本人の同意が要る。

解説
個人情報保護法第27条第1項は、法令に基づく場合や、人の生命・身体・財産の保護のために必要で本人の同意を得ることが困難な場合などを除き、あらかじめ本人の同意を得ないで個人データを第三者に提供してはならないと定めています。対象は、個人情報データベース等を構成する個人データです。
一方、利用目的の達成に必要な範囲で個人データの取扱いを委託し、委託先に渡す場合は、第三者への提供に当たらないとされています（第27条第5項第1号）。したがって「委託して渡す場合も、第三者提供として本人の同意が要る」という記述は適切ではありません。ただし、委託元には、委託先に対する必要かつ適切な監督の義務があります（第25条）。

他の選択肢（適切な記述）について
・法令に基づく場合は同意が不要：第27条第1項第1号の例外です。
・生命・身体・財産の保護に必要で同意を得るのが困難なとき：第27条第1項第2号の例外です。
・対象は個人データ：個人情報データベース等を構成する個人情報が、第三者提供の制限の対象です。

覚え方のポイント
委託は「第三者」に当たらない。その代わり委託先の監督の義務がある。

問54-5

個人情報保護委員会が2023年に行った生成AIサービスの利用に関する注意喚起の趣旨として、最も適切なものを1つ選びなさい。

①生成AIサービスに個人情報を入力することは、どのような場合でも許されると説明した。
②個人情報を含むプロンプトを入力する場合は、利用目的の範囲内かなどの確認を求めた。
③生成AIサービスの利用そのものを、すべての事業者に対して法律で全面的に禁止した。
④生成AIサービスの利用者は、個人情報保護法の対象から外れることを明らかにした。

答えと解説を見る

正解 ②個人情報を含むプロンプトを入力する場合は、利用目的の範囲内かなどの確認を求めた。

解説
個人情報保護委員会は、2023年6月に「生成AIサービスの利用に関する注意喚起等」を公表しました。その中で、個人情報取扱事業者が生成AIサービスに個人情報を含むプロンプトを入力する場合には、特定された利用目的を達成するために必要な範囲内であることを十分に確認すること、また、本人の同意なく個人データを入力し、その個人データがプロンプトへの応答以外の目的（学習など）に取り扱われる場合には、個人情報保護法に違反するおそれがあることなどを示しました。
生成AIの利用でも、個人情報保護法のルールは変わらず適用されます。

他の選択肢が不適切な理由
・どのような場合でも入力が許される：利用目的の範囲や第三者提供の観点から、確認が必要とされています。
・利用そのものを全面的に禁止：注意喚起は、利用を全面的に禁止するものではありません。
・利用者は個人情報保護法の対象外：生成AIを利用する事業者にも、個人情報保護法は適用されます。

覚え方のポイント
生成AIでも個人情報保護法は「そのまま適用」。入力前に利用目的と学習への利用の有無を確認。

問64-5

個人情報を加工してから生成AIに入力する場合の考え方として、適切でないものを1つ選びなさい。

①社内のルールで、AIに入力してよい情報の範囲を確認してから入力する。
②他の情報と容易に照合でき、それで特定の個人を識別できるなら、個人情報に当たる。
③入力の前に、目的に必要のない個人に関する情報を含めないようにする。
④氏名さえ削除すれば、その情報は個人情報保護法の個人情報には当たらなくなる。

答えと解説を見る

正解 ④氏名さえ削除すれば、その情報は個人情報保護法の個人情報には当たらなくなる。

解説
個人情報保護法の個人情報には、他の情報と容易に照合することができ、それによって特定の個人を識別できるものも含まれます（第2条第1項第1号）。そのため、氏名だけを削除しても、住所・勤務先・年齢・特徴的な出来事などの組合せから誰のことか分かる場合は、個人情報に当たることがあります。したがって「氏名さえ削除すれば、その情報は個人情報には当たらなくなる」という記述は適切ではありません。
生成AIに入力する前には、目的に必要のない個人に関する情報を含めないようにし、社内のルールで入力してよい情報の範囲を確認することが大切です。

他の選択肢（適切な記述）について
・容易に照合して特定の個人を識別できるなら個人情報：個人情報の定義（第2条第1項第1号）に含まれます。
・目的に必要のない情報を含めない：入力する情報を最小限にする考え方です。
・社内のルールで入力してよい範囲を確認する：情報漏えいを防ぐための基本です。

覚え方のポイント
氏名を消しても「組合せで誰か分かる」なら個人情報のまま。

問74-5

不正競争防止法で保護される「営業秘密」の3つの要件の組合せとして、最も適切なものを1つ選びなさい。

①秘密管理性・有用性・非公知性
②新規性・進歩性・産業上の利用可能性
③創作性・表現性・独自性
④識別性・顧客吸引力・周知性

答えと解説を見る

正解 ①秘密管理性・有用性・非公知性

解説
不正競争防止法で保護される営業秘密とは、秘密として管理されている生産方法、販売方法その他の事業活動に有用な技術上または営業上の情報であって、公然と知られていないものをいいます（第2条第6項）。ここから、秘密管理性（秘密として管理されている）・有用性（事業活動に有用である）・非公知性（公然と知られていない）の3つが要件とされます。
社外秘の情報を、入力データが外部で利用されうる生成AIサービスに安易に入力すると、秘密として管理していたとはいえなくなるおそれもあるため、注意が必要です。

他の選択肢が不適切な理由
・新規性・進歩性・産業上の利用可能性：特許を受けるための主な要件です。
・創作性・表現性・独自性：営業秘密の要件ではありません（著作物の判断に関わる考え方を連想させる組合せです）。
・識別性・顧客吸引力・周知性：商標やパブリシティ権の議論に関わる言葉を集めたもので、営業秘密の要件ではありません。

覚え方のポイント
営業秘密の3要件＝「ひ・ゆう・ひ」（秘密管理性・有用性・非公知性）。

問84-5

秘密保持契約（NDA）を結んで取引先から受け取った情報を、生成AIで扱う場合の考え方として、適切でないものを1つ選びなさい。

①入力が学習に使われる設定のサービスでは、情報漏えいのリスクがそれだけ高くなる。
②契約で定めた利用の目的や、開示してよい範囲に入るかどうかを確認する。
③AIに入力するだけなら第三者への開示ではないので、契約上の問題は生じない。
④判断に迷うときは、法務部門や取引先に確認してから扱うようにするとよい。

答えと解説を見る

正解 ③AIに入力するだけなら第三者への開示ではないので、契約上の問題は生じない。

解説
秘密保持契約（NDA）では、受け取った情報を使ってよい目的や、開示してよい相手・範囲が定められています。生成AIのサービスに入力すると、情報が外部の事業者のサーバーに送られて処理され、設定によっては学習に使われることもあります。そのため、契約によっては目的外の利用や第三者への開示に当たり、契約違反になるおそれがあります。
したがって「入力するだけなら契約上の問題は生じない」という記述は適切ではありません。契約で定めた目的や範囲を確認し、判断に迷うときは法務部門や取引先に確認してから扱うことが大切です。

他の選択肢（適切な記述）について
・目的や開示してよい範囲を確認する：NDAで受け取った情報を扱うときの基本です。
・学習に使われる設定では漏えいのリスクが高い：入力した情報が、他の利用者への出力に影響する可能性があります。
・迷うときは法務部門や取引先に確認する：自分だけで判断しないことが大切です。

覚え方のポイント
NDAの情報は「契約の目的と範囲」が物差し。AIへの入力も例外ではありません。

問94-5

個人情報保護法の「漏えい等の報告」についての説明として、最も適切なものを1つ選びなさい。

①漏えい等の報告は警察だけに行うものであり、個人情報保護委員会への報告は不要とされている。
②個人データが漏えいしても、社内で記録しておけば、外部への報告や本人への通知は一切必要ない。
③漏えい等の報告は、漏えいした件数にかかわらず、毎年一度まとめて行えばよいと決められている。
④権利利益を害するおそれが大きい漏えい等が起きたときは、委員会への報告と本人への通知が要る。

答えと解説を見る

正解 ④権利利益を害するおそれが大きい漏えい等が起きたときは、委員会への報告と本人への通知が要る。

解説
個人情報取扱事業者は、取り扱う個人データの漏えい・滅失・毀損などのうち、個人の権利利益を害するおそれが大きいものとして規則で定める事態が生じたときは、個人情報保護委員会に報告し、本人に通知しなければなりません（第26条）。
規則では、要配慮個人情報が含まれる場合、不正に利用されることで財産的な被害が生じるおそれがある場合、不正の目的によるおそれがある場合、本人の数が1,000人を超える場合などが定められています。生成AIへの不適切な入力が原因で漏えいが起きた場合も、この対応が必要になることがあります。

他の選択肢が不適切な理由
・社内で記録すれば報告や通知は不要：権利利益を害するおそれが大きい事態では、委員会への報告と本人への通知が必要です。
・毎年一度まとめて報告：報告は、事態が生じたときに速やかに行う必要があります。
・警察だけに報告：個人情報保護法に基づく報告先は、個人情報保護委員会です。

覚え方のポイント
重大な漏えい等＝「委員会への報告」＋「本人への通知」がセット。

問104-5

個人情報・プライバシー・秘密保持に関する次の記述a〜dのうち、適切なものの組合せを1つ選びなさい。
a．氏名を伏せれば、どのような情報も必ず個人情報ではなくなる。
b．要配慮個人情報の取得には、原則として本人の同意が必要である。
c．公開されている情報は、個人を識別できても個人情報には当たらない。
d．営業秘密の要件には、秘密管理性・有用性・非公知性がある。

①b・d
②b・c
③a・c
④a・d

答えと解説を見る

正解 ①b・d

解説
bとdが適切です。
b：病歴や犯罪の経歴などの要配慮個人情報は、法令に基づく場合などの例外を除き、あらかじめ本人の同意を得ないで取得してはならないとされています（第20条第2項）。
d：不正競争防止法の営業秘密は、秘密管理性・有用性・非公知性の3つが要件とされます（第2条第6項）。

誤っている記述
・a：氏名を伏せても、他の情報と組み合わせて特定の個人を識別できる場合は、個人情報に当たりえます。
・c：公開されている情報であっても、特定の個人を識別できれば個人情報に当たります。

覚え方のポイント
「公開されていても個人情報」「名前を消しても個人情報のことがある」。この2つのひっかけは頻出です。

「生成AIパスポート」は一般社団法人生成AI活用普及協会の登録商標です。本ページは一般社団法人生成AI活用普及協会（GUGA）とは一切関係がなく、公認・認定を受けた教材ではありません。

生成AIパスポートの対策問題（全410問）に戻る

非公式の資格試験対策サイトです。一般社団法人生成AI活用普及協会（GUGA）とは一切関係がなく、GUGAの公認・認定を受けた教材ではありません。

※本ページでは、アクセス解析（Googleアナリティクス）と、広告の配信・成果の計測（A8.net）のためにCookie等を利用し、閲覧に関する情報をGoogle LLC・株式会社ファンコミュニケーションズへ送信しています。詳しくはプライバシーポリシーをご覧ください。

※本ページの問題・解説は、生成AI（人工知能）を活用して作成しています。