個人情報保護法・APPI

3行要約（速習ポイント）

• 1令和2年・令和3年改正により、一定規模以上の漏えい発生時の「個人情報保護委員会への報告」と「本人通知」が完全義務化。
• 2Cookieや閲覧履歴等の「個人関連情報」を第三者提供して個人データと紐づける場合の本人同意も新設。
• 3ITストラテジストは、システム要件にプライバシー・バイ・デザイン（Privacy by Design）を組み込む。

概念・アーキテクチャ図解

法改正で義務化された報告と本人通知の流れ

概要・背景・本質

個人情報保護法は、デジタル経済の発展と個人の権利保護を両立させるための基本法です。違反企業には最高1億円の罰金刑や社名公表など厳しい社会的制裁が課されます。システム企画段階からプライバシー侵害リスクを排除する「プライバシー影響評価（PIA）」の実施が重要性を増しています。

コア概念と着眼点

• 個人データの定義：特定の個人を識別できる情報（氏名、マイナンバー、生体データ、顔写真等）
• 要配慮個人情報：人種、信条、病歴、犯罪歴など、本人の事前同意なしの取得・提供が原則禁止される情報
• 漏えい時の義務：1,000人超の漏えいや要配慮個人情報の漏えい時、委員会への速報（3〜5日以内）と確報（30日以内）が義務
• 越境移転規制：外国の第三者に個人データを提供する際の厳格な基準（GDPR対応含む）

ITストラテジスト試験（午後I記述・午後II論文）での論述ポイント

午前IIの法務分野で最頻出！「漏えい時の報告義務条件」「利用目的の特定と通知」「匿名加工情報と仮名加工情報の違い」が問われる。午後I・午後IIでは、ECや会員システムのリプレイスにおいて、安全管理措置（暗号化、アクセスログの長期保存）の要件定義として記述する。

小論文で使える実践フレーズ・キーワード

関連するITストラテジスト重要用語

『個人情報保護法・APPI』が出題された関連過去問演習