午前I問題
個人情報の保護に関する法律（個人情報保護法）に関する記述として、適切なものはどれか。
ア）個人情報取扱事業者は、取得した個人情報の利用目的を本人に通知または公表する義務があるが、利用目的の変更は本人の同意なく自由に行うことができる。
イ）要配慮個人情報には、人種・信条・病歴・犯罪歴などが含まれ、取得に際しては原則として本人の同意が必要である。
ウ）個人情報の第三者提供は、本人の同意を得ることなくオプトアウト方式でのみ実施可能であり、オプトイン方式は認められていない。
エ）匿名加工情報は元の個人情報に復元できないよう加工された情報であり、作成後は個人情報保護法の規制対象外となるため、利用目的の制限なく自由に活用できる。
午前I の解答・解説を見る
正解： イ
解説： 要配慮個人情報は不当な差別・偏見が生じるおそれのある情報であり、取得には原則として本人の明示的な同意（オプトイン）が必要です。オプトアウト方式による第三者提供も禁止されています。ア）利用目的の変更は変更前の利用目的と関連性が認められる範囲内に限られます。ウ）第三者提供には原則としてオプトイン同意が必要であり、オプトアウトは例外です。エ）匿名加工情報も個人情報保護法の規制対象であり、識別行為の禁止・公表義務などが課されます。
| 情報の種類 | 規制レベル | 第三者提供 |
|---|---|---|
| 個人情報 | 標準 | 原則オプトイン同意 |
| 要配慮個人情報 | 厳格 | オプトイン同意必須・オプトアウト不可 |
| 匿名加工情報 | 緩和 | 同意不要（公表義務あり） |
| 仮名加工情報 | 中間 | 原則第三者提供不可 |
午前II問題
不正アクセス行為の禁止等に関する法律（不正アクセス禁止法）に関する記述として、適切なものはどれか。
ア）不正アクセス禁止法において、他人のIDとパスワードを正当な理由なく第三者に提供する行為は、実際に不正アクセスが行われなくても処罰の対象となる。
イ）不正アクセス禁止法の規制対象は、インターネットを経由したコンピュータへの不正侵入に限られており、社内LANのみを使用した不正アクセスは対象外である。
ウ）フィッシングサイトを作成して他人のIDとパスワードを詐取する行為は、不正アクセス禁止法ではなく不正競争防止法によって規制される。
エ）不正アクセス禁止法では、セキュリティ上の脆弱性を利用してシステムに侵入した場合のみが規制対象であり、パスワードを類推して正規の認証を突破した場合は対象外である。
午前II の解答・解説を見る
正解： ア
解説： 不正アクセス禁止法第4条により、他人のID・パスワードを正当な理由なく第三者に提供する行為は、実際に不正アクセスが発生しなくても処罰対象（1年以下の懲役または50万円以下の罰金）です。イ）社内LANを経由した不正アクセスも対象です。ウ）フィッシングによるID・パスワード詐取は不正アクセス禁止法第7条で規制されます。エ）パスワードを類推して認証を突破する行為も第2条第4項第1号の不正アクセス行為に該当します。
| 不正アクセス禁止法の主要条文 | 内容 |
|---|---|
| 第2条 | 不正アクセス行為の定義（侵入・回避） |
| 第4条 | ID・パスワードの不正提供の禁止 |
| 第5条 | 不正アクセスを助長する情報の提供禁止 |
| 第7条 | フィッシング行為の禁止 |
| 第8条 | アクセス管理者のセキュリティ措置の努力義務 |
午後問題
F社（従業員200名、ECサイト運営）は、2026年6月20日に社内調査の結果、外部からの不正アクセスにより会員12万人分の個人情報が漏洩した可能性があることを確認した。漏洩した情報には氏名・住所・メールアドレス・購入履歴のほか、一部会員のクレジットカード番号（有効期限含む）が含まれる。漏洩に気づいたのは6月18日であったが、調査に2日を要した。
設問1
改正個人情報保護法（2022年施行）における「漏洩等の報告・通知義務」に関して、以下の2点を答えよ。
（1）本件は報告義務の対象となる「個人情報の漏洩等」に該当するか。該当する場合、その理由を述べよ。
（2）個人情報保護委員会への報告期限と、本人への通知義務の概要を述べよ。
設問1の解答・解説を見る
正解例（1）： 該当する。理由：①クレジットカード番号を含むため「財産的被害が生じるおそれがある漏洩」に該当、②外部からの不正アクセスによる漏洩のため「不正目的による漏洩」に該当、③漏洩件数が12万人と1,000人を超えるため、の3類型に該当する。
正解例（2）：
- 速報：漏洩を知った時点（6月18日）から概ね3〜5日以内に個人情報保護委員会へ報告
- 確報：速報から30日以内（不正目的が疑われる場合は60日以内）に詳細報告
- 本人通知：漏洩した本人（12万人）全員に速やかに、漏洩した情報の項目・原因・問い合わせ窓口を通知
採点基準：
- 該当理由に「クレジットカード番号」「不正アクセス」「1,000人超」のいずれか（2点）
- 速報（3〜5日）と確報（30日）の区別（2点）
- 本人への通知義務への言及（2点）
設問2
クレジットカード番号が漏洩した場合、個人情報保護法以外に関連する可能性がある法令・規制を1つ挙げ、F社がとるべき具体的な対応を述べよ。また、漏洩発覚後にF社のWebサイトに掲載すべき情報を3点挙げよ。
設問2の解答・解説を見る
正解例（法令・規制）： 割賦販売法（またはPCI DSS）。割賦販売法の改正によりクレジットカード番号等の適切管理義務が課されており、漏洩時はカード会社・アクワイアラへの速報連絡と原因調査が必要。PCI DSSに基づくQSAによるフォレンジック調査の実施が求められる場合がある。
正解例（具体的対応）：
- カード会社・アクワイアラへの速報連絡
- 漏洩したカードの利用停止・再発行の依頼
- PCI DSS準拠のフォレンジック調査実施
正解例（Webサイト掲載情報）：
- 漏洩した個人情報の項目と対象人数
- 漏洩の原因と経緯（いつ・どのような経路で漏洩したか）
- 被害者が取るべき対応と問い合わせ窓口
採点基準：
- 割賦販売法・PCI DSS・カード会社への報告のいずれか（2点）
- カード利用停止・再発行への言及（2点）
- Webサイト掲載情報3点が適切（各1点）
重要キーワード
| 用語 | 説明 |
|---|---|
| 要配慮個人情報 | 人種・病歴・犯罪歴など不当な差別のおそれがある情報。取得にオプトイン同意必須 |
| 匿名加工情報 | 特定個人を識別できないよう加工した情報。識別行為禁止・公表義務あり |
| 不正アクセス禁止法第4条 | ID・パスワードの不正提供禁止。実際の不正アクセスがなくても処罰対象 |
| 漏洩等報告義務 | 改正個人情報保護法による速報（3〜5日）・確報（30日）の報告義務 |
| 割賦販売法 | クレジットカード番号等の適切管理を義務付ける法律。漏洩時のカード会社報告を要求 |
| PCI DSS | クレジットカード業界のセキュリティ基準。加盟店にフォレンジック調査等を要求 |
まとめ
- 午前I視点： 個人情報保護法の情報種別（個人情報・要配慮・匿名加工・仮名加工）と第三者提供ルールの違いを表で整理する。利用目的変更の制限も頻出
- 午前II視点： 不正アクセス禁止法は条文番号と規制内容をセットで覚える。ID不正提供・フィッシング・パスワード類推もすべて対象
- 午後視点： 漏洩時の報告義務は「速報（3〜5日）→確報（30日）→本人通知」のタイムラインと、クレジットカード漏洩時の割賦販売法・PCI DSS対応を論述できるようにする