この記事で学ぶ論点
今回の個人情報保護法改正を題材に、経営法務における個人情報保護関連法規と、経営情報システムにおけるAI・データ利活用の論点を整理します。一次試験では、個人情報の定義、取得・利用・提供のルール、匿名加工情報、法改正の背景としてのDX・AI促進といった切り口で頻出です。法規制と技術活用の両面から理解することで、複数科目をまたぐ出題にも対応できます。
題材ニュースの要約
AIの開発促進を目的として、個人情報を取得する際の規制を緩和する個人情報保護法の改正案が、参議院の特別委員会で可決されました。AI技術の発展に伴い、大量のデータを学習に活用する必要性が高まる中、個人情報の取り扱いルールを見直すことで、イノベーションと個人のプライバシー保護の両立を図る狙いがあります。
元記事：NHKONEニュース|政治
このニュースは一次試験でどう問われるか
経営法務での問われ方
個人情報保護法は、経営法務で毎年のように出題される重要論点です。特に以下の形で問われます。
- 個人情報の定義：「特定の個人を識別できる情報」の範囲、個人識別符号、要配慮個人情報の区別
- 取得・利用・提供のルール：利用目的の明示、本人同意、第三者提供の要件、オプトアウトの可否
- 匿名加工情報・仮名加工情報：加工方法、利用制限、本人同意の要否
想定される短答式の問われ方
- 問：「個人情報取扱事業者は、個人情報を取得する際、あらかじめ利用目的を本人に通知または公表しなければならない」
→ 正誤判断の軸：原則は正しいが、「取得の状況からみて利用目的が明らか」な場合など例外があるかを確認 - 問：「匿名加工情報は、特定の個人を識別できないよう加工されているため、本人の同意なく第三者に提供できる」
→ 正誤判断の軸：匿名加工情報の定義と提供ルール（公表義務など）を押さえているか - 問：「AI開発のために個人データを利用する場合、すべてのケースで本人の同意が必要である」
→ 正誤判断の軸：法改正の趣旨（規制緩和）と、研究開発目的での例外規定の有無を理解しているか
経営情報システムでの問われ方
経営情報システムでは、AI・機械学習の仕組みと、データ利活用のための技術的・制度的基盤が問われます。
- AI開発におけるデータの重要性：教師データ、学習データの質と量、データクレンジング
- プライバシー保護技術：差分プライバシー、秘密計算、連合学習（Federated Learning）
- データガバナンス：データの適法性、透明性、トレーサビリティ、説明可能性（Explainability）
関連する一次試験科目と頻出論点
経営法務
個人情報保護法の基本構造
個人情報保護法は、個人の権利利益を保護しつつ、個人情報の有用性にも配慮する法律です。試験では以下を押さえてください。
- 個人情報の定義：氏名、生年月日、住所など特定の個人を識別できる情報。顔認証データ、指紋などの個人識別符号も含む。
- 要配慮個人情報：人種、病歴、犯罪歴など、本人に対する不当な差別や偏見が生じないよう特に配慮が必要な情報。取得には原則本人同意が必要。
- 利用目的の特定・通知：取得時に利用目的を明示し、目的外利用は原則禁止。変更する場合は本人の合理的期待の範囲内に限る。
- 第三者提供：原則として本人同意が必要。ただし、委託、事業承継、共同利用などは例外。オプトアウト方式（本人が拒否しない限り提供可）も一定条件下で可能。
- 匿名加工情報：特定の個人を識別できないように加工し、復元できないようにした情報。本人同意なく第三者提供が可能だが、加工方法の公表、識別行為の禁止などのルールがある。
法改正の背景とAI開発
今回の改正では、AI開発に必要な大量データの利用を促進するため、研究開発目的での取得・利用における規制緩和が焦点です。過去問では「法改正の趣旨」を問う設問も出ており、「イノベーション促進」と「プライバシー保護」のバランスを理解しておくことが重要です。
経営情報システム
AI・機械学習の基礎
AIは大量のデータから学習し、予測や分類を行うシステムです。試験では以下の基礎知識が問われます。
- 教師あり学習：正解ラベル付きデータで学習。分類、回帰など。
- 教師なし学習：ラベルなしデータからパターンを発見。クラスタリング、次元削減など。
- 強化学習：試行錯誤を通じて最適な行動を学習。
- ディープラーニング：多層ニューラルネットワークを用いた学習。画像認識、自然言語処理で高い性能。
データ利活用とプライバシー保護技術
AI開発では大量の個人データを扱うため、プライバシー保護技術が重要です。
- 差分プライバシー：データにノイズを加えて、個人を特定できないようにしながら統計的な有用性を保つ技術。
- 秘密計算：データを暗号化したまま計算を行い、データの内容を明かさずに分析結果を得る技術。
- 連合学習：データを中央に集めず、各拠点でモデルを学習し、パラメータだけを共有する分散学習手法。
中小企業経営・中小企業政策
中小企業のデータ利活用とデジタル化
中小企業白書では、デジタル化の遅れが生産性向上の阻害要因として指摘されています。個人情報保護法の理解は、顧客データを活用したマーケティングや業務効率化を進める上で不可欠です。
- 顧客データの活用：購買履歴、問い合わせ履歴などを分析し、ターゲティングやパーソナライゼーションに活用。ただし、利用目的の明示と本人同意が必要。
- データドリブン経営：勘や経験だけでなく、データに基づく意思決定。個人情報保護とのバランスが重要。
- 中小企業の課題：IT人材不足、法知識の欠如、コンプライアンス体制の未整備。支援施策として、IT導入補助金、専門家派遣などがある。
過去問型のチェックポイント
- 個人情報の定義を正確に理解しているか
「特定の個人を識別できる情報」がポイント。氏名、住所、生年月日だけでなく、顔認証データ、マイナンバーなど個人識別符号も含む。単なる統計データや法人情報は含まれない。 - 要配慮個人情報の取り扱いルールを押さえているか
人種、病歴、犯罪歴などは「要配慮個人情報」として、取得に原則本人同意が必要。通常の個人情報よりも厳格な扱いが求められる。 - 匿名加工情報と仮名加工情報の違いを説明できるか
匿名加工情報は特定の個人を識別できず復元不可能で、第三者提供が可能。仮名加工情報は他の情報と照合しない限り識別できず、内部分析用で第三者提供は原則不可。 - 第三者提供の例外（委託、事業承継、共同利用）を区別できるか
委託先への提供は第三者提供に当たらない。事業承継時は承継元・承継先が通知・公表。共同利用は事前に共同利用者の範囲、利用目的などを公表すれば本人同意不要。 - AI開発における個人データ利用の法的論点を整理できるか
研究開発目的での利用は一定の緩和措置がある。ただし、目的外利用の禁止、安全管理措置、本人の権利保護（開示請求など）は引き続き求められる。法改正の趣旨を理解し、「規制緩和＝何でもOK」ではないことに注意。
論点を表で整理
| 科目 | 頻出論点 | ニュースとの接点 | 本試験での注意点 |
|---|---|---|---|
| 経営法務 | 個人情報保護法の基本ルール（定義、取得、利用、提供） | AI開発促進のための規制緩和が改正の焦点 | 例外規定（委託、共同利用、オプトアウトなど）を正確に押さえる。「原則」と「例外」の区別が問われやすい |
| 経営法務 | 匿名加工情報・仮名加工情報 | AI学習データとして匿名加工情報の活用が期待される | 両者の定義、加工方法、利用制限、第三者提供の可否を混同しない |
| 経営情報システム | AI・機械学習の基礎 | AIモデルの学習には大量の個人データが必要 | 教師あり/なし学習、ディープラーニングの特徴を理解。データの質と量が性能を左右する点を押さえる |
| 経営情報システム | プライバシー保護技術 | 差分プライバシー、秘密計算、連合学習など新技術 | 技術名と目的（個人特定を防ぎつつデータ活用）を結び付けて覚える。仕組みの詳細よりも「何ができるか」を優先 |
| 中小企業経営・政策 | 中小企業のデジタル化、データ利活用 | 顧客データ活用による競争力強化、法令遵守の重要性 | 白書の統計（IT導入率、人材不足）と、支援施策（IT導入補助金、専門家派遣）をセットで押さえる |
今日の暗記ポイント
- 個人情報：特定の個人を識別できる情報。氏名、生年月日、個人識別符号（顔認証データなど）を含む。
- 要配慮個人情報：人種、病歴、犯罪歴など。取得には原則本人同意が必要。通常の個人情報より厳格。
- 匿名加工情報：特定個人の識別不可・復元不可に加工した情報。本人同意なく第三者提供可能だが、加工方法公表、識別行為禁止などルールあり。
- 第三者提供の例外：委託、事業承継、共同利用は本人同意不要（条件あり）。オプトアウト方式も一定条件下で可。
- AI開発と法改正：研究開発目的での個人データ利用を促進。ただし、目的外利用禁止、安全管理措置、本人の権利保護は継続。
確認問題
問1
個人情報保護法における「個人情報」には、氏名や住所だけでなく、顔認証データや指紋などの個人識別符号も含まれる。
解答と解説
正しい。個人情報は「特定の個人を識別できる情報」であり、個人識別符号（顔認証データ、指紋、マイナンバーなど）も法律上の個人情報に含まれます。試験では、氏名や住所だけでなく、バイオメトリクス情報や符号も個人情報として扱われる点を押さえてください。
問2
要配慮個人情報を取得する場合、通常の個人情報と同様に、利用目的を明示すれば本人の同意は不要である。
解答と解説
誤り。要配慮個人情報（人種、病歴、犯罪歴など）の取得には、原則として本人の同意が必要です。通常の個人情報よりも厳格な取り扱いが求められます。利用目的の明示だけでは足りない点に注意してください。
問3
匿名加工情報は、特定の個人を識別できないように加工されているため、加工後は個人情報保護法の規制対象外となる。
解答と解説
誤り。匿名加工情報は、特定個人の識別ができず復元もできないよう加工された情報ですが、法律上一定の規制が残ります。加工方法の公表、識別行為の禁止、安全管理措置などが求められます。「規制対象外」ではなく「緩和された規制対象」と理解してください。
問4
個人データを業務委託先に提供する場合、これは第三者提供に該当するため、原則として本人の同意が必要である。
解答と解説
誤り。業務委託先への個人データの提供は、法律上「第三者提供」に該当しません。委託元が委託先を適切に監督する義務を負うため、本人の同意は不要です。ただし、委託先の選定、契約内容、監督が求められる点は押さえてください。
問5
AI開発のための個人データ利用について、今回の法改正で規制が緩和されたため、研究開発目的であれば本人の同意なく自由に利用できる。
解答と解説
誤り。法改正により研究開発目的での個人データ利用に一定の緩和措置が設けられましたが、「自由に利用できる」わけではありません。利用目的の範囲内であること、安全管理措置、本人の権利（開示請求など）への対応は引き続き求められます。「規制緩和＝無制限」ではない点に注意してください。
※ 試験制度・施策の最新情報は中小企業診断協会、中小企業庁、個人情報保護委員会などの公式情報も確認してください。
