Cookieなどの識別子に結びついた閲覧履歴のように、それ単体では特定の個人を識別できない「個人関連情報」を第三者に提供する場面で、提供先がそれを個人データとして取得することが想定されるとき、個人情報保護法上の規律として最も適切なものはどれか。
- 1個人関連情報は個人情報に当たらないため、提供元にも提供先にも同法上の義務は生じない。
- 2提供元は、提供前に個人関連情報を匿名加工情報に加工しなければならない。
- 3提供元は、提供先が本人から同意を得ていることなどを、あらかじめ確認しなければならない。
- 4提供元は、個人情報保護委員会に届け出れば、本人の同意を確認せずに提供できる。
正解と解説を見る
正解：3
2020年の法改正（2022年施行）で設けられた規律により、提供先が個人関連情報を個人データとして取得することが想定される場合、提供元は本人の同意が得られていることなどをあらかじめ確認しなければなりません。同意は通常、本人と接点のある提供先が取得し、提供元はそれを確認する立場です。個人関連情報そのものは個人情報ではありませんが、提供先で個人と結びつく場面では義務が生じるので、選択肢1は誤りです。また、委員会への届出で確認を省ける仕組みはありません。「提供先で個人データになるなら、提供元に同意の確認義務がある」と押さえましょう。
根拠：個人情報保護法第2条第7項、第31条