LEARNING ROADMAP
理解する順番
1. 用語何が個人情報か
2. ライフサイクル取得・利用・提供・削除
3. 役割分担事業・法務・セキュリティ
4. ケース演習相談への初動回答
5. 事故対応報告・通知・再発防止
おすすめ：基礎30分 → 事例集60分 → テスト20分。テスト結果はこの端末のブラウザ内にのみ保存されます。
CHAPTER 1
最初に押さえる基礎
個人情報
生きている個人についての情報で、氏名などにより本人を識別できるもの。他の情報と簡単に照合して本人を識別できるものも含みます。
生きている個人についての情報で、氏名などにより本人を識別できるもの。他の情報と簡単に照合して本人を識別できるものも含みます。
個人データ
検索できるように整理された「個人情報データベース等」を構成する個人情報。第三者提供、安全管理、漏えい対応などの中心となる概念です。
検索できるように整理された「個人情報データベース等」を構成する個人情報。第三者提供、安全管理、漏えい対応などの中心となる概念です。
保有個人データ
会社が開示・訂正・利用停止などを行う権限を持つ個人データ。本人から請求を受ける場面で重要です。
会社が開示・訂正・利用停止などを行う権限を持つ個人データ。本人から請求を受ける場面で重要です。
要配慮個人情報
人種、信条、病歴、犯罪被害など、差別や不利益につながりやすく、特に慎重な取扱いが必要な情報です。
人種、信条、病歴、犯罪被害など、差別や不利益につながりやすく、特に慎重な取扱いが必要な情報です。
個人関連情報
Cookie、閲覧履歴、位置情報など、生存する個人に関する情報ではあるものの、提供元では個人情報に当たらない情報。提供先で個人データとして取得されることが想定される場合には特別な規律があります。
Cookie、閲覧履歴、位置情報など、生存する個人に関する情報ではあるものの、提供元では個人情報に当たらない情報。提供先で個人データとして取得されることが想定される場合には特別な規律があります。
根拠：個人情報保護法 第2条・第16条、個人情報保護委員会「通則編」2 定義。
30秒で言うと
個人情報保護法は、情報を使うことを全面禁止する法律ではありません。
目的を明らかにし、必要な範囲で、安全に使い、本人の権利を守るためのルールです。
相談時の第一声
「何の情報を、誰から、何の目的で取得し、誰が使い、どこに保存し、誰に渡し、いつ消しますか？」
CHAPTER 2
情報のライフサイクルで考える
取得前
利用目的を特定する。取得方法が適正か確認する。要配慮個人情報なら取得根拠を確認する。
利用目的を特定する。取得方法が適正か確認する。要配慮個人情報なら取得根拠を確認する。
→
取得時
利用目的を通知・公表する。本人から書面で直接取得する場合は、原則として事前に明示する。
利用目的を通知・公表する。本人から書面で直接取得する場合は、原則として事前に明示する。
→
利用・保存
目的の範囲内で利用し、安全管理措置、アクセス制御、教育、ログ、委託先監督を行う。
目的の範囲内で利用し、安全管理措置、アクセス制御、教育、ログ、委託先監督を行う。
提供
第三者提供か、委託か、共同利用かを区別する。外国にある第三者への提供も確認する。
第三者提供か、委託か、共同利用かを区別する。外国にある第三者への提供も確認する。
→
本人対応
開示・訂正・利用停止等の請求窓口と手順を整備する。
開示・訂正・利用停止等の請求窓口と手順を整備する。
→
削除・事故対応
不要になったデータを適切に消去する。漏えい等が発生した場合は初動、調査、報告・通知要否を判断する。
不要になったデータを適切に消去する。漏えい等が発生した場合は初動、調査、報告・通知要否を判断する。
根拠：法第17～22条、第23～25条、第27～30条、第32～39条。詳細は個人情報保護委員会「通則編」「外国にある第三者への提供編」「第三者提供時の確認・記録義務編」。
役割分担の目安
事業部門が説明すること
業務目的、対象者、取得項目、利用者、保存先、提供先、保存期間、画面・運用フロー、顧客への説明内容。
セキュリティ担当が確認すること
アクセス権、認証、暗号化、ログ、バックアップ、端末、脆弱性、委託先・再委託先、海外保管、事故時連絡、削除方法。
法務・個人情報保護管理者につなぐこと
本人同意の要否、第三者提供該当性、共同利用、公表事項、外国提供、本人請求、規約・契約・DPA、法令報告の最終判断。
相談受付テンプレート
チェック状態はこの端末にのみ保存されます。
CHAPTER 3
SaaS事業会社の問い合わせ事例集
CHAPTER 4
漏えい等が疑われたとき
- 事実を止める：公開停止、権限停止、誤送信の回収依頼など。ただし証拠を消さない。
- すぐ報告する：上司、CSIRT、法務、個人情報保護管理者など社内ルールの窓口へ。
- 範囲を調べる：対象者、項目、件数、期間、閲覧・取得の可能性、暗号化状況。
- 二次被害を防ぐ：パスワード変更、トークン失効、顧客対応、監視強化。
- 報告・通知要否を判断：個人情報保護委員会への報告と本人通知が必要な類型か、法務等と判断。
- 再発防止：原因を人だけに求めず、仕組み、権限、UI、教育、レビューを改善。
根拠：法第26条、施行規則、個人情報保護委員会「通則編」3-5-3及び「漏えい等の対応とお役立ち資料」。報告期限や要件は事案により異なるため、最新資料で確認してください。
初動で集める情報
「自分で判断してから報告」ではなく、疑いの段階で早くエスカレーションします。
CHAPTER 5
理解度テスト
REFERENCES
主要な情報ソース
教材内では、各事例・各設問に 規範レベル のラベルを付けています。「法律で決まっていること」と「推奨にすぎないこと」「自社で決めるべきこと」を混同しないための目印です。最終確認は必ず最新版の一次情報を利用してください。
法律上の義務個人情報保護法などの法令が直接求めている事項。守らなければ違法となり得ます。
ガイドライン上の要請個人情報保護委員会のガイドライン・注意喚起等が示す考え方。法令解釈の指針になります。
セキュリティ上の推奨安全管理措置を実務に落とすうえで妥当とされる技術的・運用的な対策。
自社ルールとして定める事項法令が一律に決めておらず、各社が規程・契約で判断する領域。
法務確認が必要な事項事実関係により結論が変わり、独断で判断してはいけない事項。法務・個人情報保護管理者へつなぎます。
ラベルは学習の便宜のための整理であり、個別案件の法的評価そのものではありません。
- e-Gov法令検索：個人情報の保護に関する法律
- 個人情報保護委員会：法令・ガイドライン等
- 個人情報保護法ガイドライン（通則編・令和8年4月一部改正）
- 個人情報保護委員会：漏えい等の対応とお役立ち資料
- 個人情報保護委員会：生成AIサービスの利用に関する注意喚起
- 個人情報保護委員会：FAQ索引
教材更新日：2026年8月4日。通則編は令和8年4月1日時点の条番号を示す版を参照しています。