行政書士試験の個人情報保護法：出る用語の定義と覚える条文

個人情報保護法（正式には「個人情報の保護に関する法律」）は、行政書士試験の基礎知識のうち「情報通信・個人情報保護」の分野で問われる法律です。覚える中心は4つです。①第2条と第16条の定義（個人情報・個人データ・保有個人データなど8つの用語）。②第27条の第三者提供（ほかの人や会社に渡すこと）の原則と例外。原則は本人の同意です。③第26条の漏えい等の報告。④個人情報保護委員会の条文です。

令和8年度試験は、令和8年4月1日現在施行の法令が対象です。e-Gov法令検索の改正履歴で確かめると、その時点の個人情報保護法は令和7年6月1日施行の版です。それより後に施行された改正は、範囲に入りません。この記事の条文は、すべてその版で確かめています。

令和8年度試験では、どの時点の条文を使うか

個人情報保護法は、改正が多い法律です。e-Gov法令検索の改正履歴から、令和7年以降に施行された（または施行予定の）主な改正を選びました。令和8年4月1日より前か後かで分けています。

注意したいのは、令和8年7月17日に公布（世の中に発表）された「個人情報の保護に関する法律等の一部を改正する法律」（令和8年法律第56号）です。公布日に一部が施行され、残りも順に施行される予定です。でも、どれも令和8年4月1日より後なので、令和8年度試験の範囲外です。この改正を反映した新しい解説を読むときは、区別してください。令和8年度の試験では、改正前の条文で答えます。

表のほかにも改正があります。日本学術会議法（令和7年法律第70号、令和8年10月1日施行）や、防災庁設置法の施行に伴う整備法などによる改正です。でも、どれも令和8年4月1日より後の施行です。e-Gov法令検索を開くと最新の版が出てくるので、試験用に読むときは版の日付に注意してください。逆に、すでに令和8年4月1日時点の条文に入っているものもあります。令和4年4月1日に施行された令和2年の改正（令和2年法律第44号）の内容と、第5章の行政機関等のルールです。

4月1日の基準日の考え方は、出題範囲の記事で科目ごとに説明しています。

8つの定義は何が違うか

用語の定義は、2つの条文に分かれています。第2条は法律全体の定義です。第16条は、主に第4章（民間の会社などのルール）で使う定義です。試験で入れ替えられやすい言葉を中心に並べます。

表の言葉を、身近な例で確かめます。ゆいさんがスポーツジムに入会し、申込書に名前・住所・電話番号を書いたとします。（このサイトの説明用の例）

1. 申込書の名前や住所は、ゆいさんがだれか分かる情報なので、個人情報です。
2. ジムがそれを会員名簿（パソコンで検索できるように整理したもの）に入れると、名簿の中の一人分の情報は個人データになります。
3. ジムが自分の判断で、その中身を見せたり、直したり、使うのをやめたりできるなら、保有個人データです。
4. ゆいさんが入会のときに伝えた病歴は、特に気をつけて扱う要配慮（ようはいりょ）個人情報です。

ひっかけになりやすい言葉

• 「生存する」：個人情報と個人関連情報の定義に入っています。亡くなった人だけの情報は、個人情報には当たりません。
• 「容易に照合することができ」：照合（しょうごう）は、ほかの情報と突き合わせることです。照合できれば何でもよいのではありません。簡単に照合できることが条件です。
• 「政令で定める」：政令は、内閣が作る細かい決まりです。個人識別符号は、条文の各号に当たる符号のうち、政令で定めるものです。要配慮個人情報は、条文が人種・信条・病歴などを挙げたうえで、それ以外を政令で定める形です。どちらも、法律の条文だけで全部が書き出されているわけではありません。
• 仮名（かめい）と匿名（とくめい）の違い：仮名加工情報は「他の情報と照合しない限り」だれのものか分からない情報です。つまり、照合すれば分かる余地が残ります。匿名加工情報は、だれのものか分からず、さらに「復元することができないようにした」ものです。

もう一つ、第16条第2項の「個人情報取扱事業者」があります。個人情報データベース等を事業に使っている者のことです。ただし、4つは除かれます。国の機関・地方公共団体・独立行政法人等・地方独立行政法人です。これらの機関には、第5章「行政機関等の義務等」のルールが別に当てはまります。

個人情報・個人データ・保有個人データで、義務はどう増えるか

3つの用語は、入れ子の関係です。個人情報の中に個人データがあり、その中に保有個人データがあります。民間の会社などの義務も、この3段階に合わせて条文が並んでいます（第4章第2節。見出しはe-Gov法令検索で確認）。

「どの義務が、どの段階の情報にかかるか」は、入れ替えやすいところです。たとえば第三者提供の制限（第27条）の対象は「個人データ」です。開示の請求（第33条）の対象は「保有個人データ」です。選択肢の主語が「個人情報」になっていたら、条文の言葉と合っているかを確かめます。

第三者提供の原則と例外はどう覚えるか

第27条第1項の原則は、「あらかじめ本人の同意を得ないで、個人データを第三者に提供してはならない」です。たとえば、さきほどのジムは、ゆいさんの同意なしに、会員名簿を健康食品の会社に渡すことはできません。例外は、同じ項の各号に並んでいます。

1. 法令に基づく場合
2. 人の生命、身体または財産の保護のために必要がある場合で、本人の同意を得ることが困難であるとき
3. 公衆衛生の向上または児童の健全な育成の推進のために特に必要がある場合で、本人の同意を得ることが困難であるとき
4. 国の機関・地方公共団体（またはその委託を受けた者）が法令の定める事務をするのに、協力する必要がある場合で、本人の同意を得ようとするとその事務に支障が出るおそれがあるとき
5. 第5号〜第7号：学術研究機関等が関わる場合（個人の権利利益を不当に侵害するおそれがある場合を除く）

覚え方のこつは、第2号〜第4号が「必要がある場合」＋「同意を得ることが困難（または支障）」の2つの条件でできていることです。たとえば、ゆいさんがジムで倒れて意識がなく、ジムが救急隊に病歴を伝えるとします。命を守るために必要で、本人に同意を求めることもできないので、第2号に当たります。選択肢で後ろの条件を落とし、「財産の保護のために必要があるときは、同意なく提供できる」とすれば誤りになります。第3号だけ「特に必要がある場合」と「特に」がつく点も見ておきます。

オプトアウトと「第三者に当たらない」場合

第27条第2項は、オプトアウトという仕組みです。本人の同意がなくても、次の3つをそろえれば提供できます。①本人から求めがあれば提供を止めることにする。②決められた事項を本人に知らせるか、本人が簡単に知ることができる状態にしておく。③個人情報保護委員会に届け出る。ただし、この方法で提供できないものがあります（同項ただし書）。要配慮個人情報、不正に取得されたもの、ほかの事業者からオプトアウトで提供されたものです。要配慮個人情報は、取得する段階でも、原則として本人の同意が必要です（第20条第2項）。

第27条第5項は、次の3つの場合、提供を受ける者は「第三者に該当しない」としています。

• 利用目的の達成に必要な範囲内で、個人データの取扱いを委託する（任せる）場合（第1号）
• 合併その他の事由による事業の承継（引きつぐこと）に伴う場合（第2号）
• 特定の者との共同利用で、その旨や項目・範囲・利用目的・責任者などを、あらかじめ本人に通知するか容易に知り得る状態に置いている場合（第3号）

たとえば、ジムが会員にお知らせのはがきを送るため、宛名の印刷を印刷会社に任せて名簿を渡すとします。これは委託なので、印刷会社は第三者に当たりません。ゆいさんの同意はいりません。

加工した情報と個人関連情報の提供

• 仮名加工情報：法令に基づく場合を除き、第三者に提供してはならない（個人データであるものは第41条第6項、それ以外は第42条第1項）。本人の同意があっても提供できる、とは書かれていません。
• 匿名加工情報：作ったときは、含まれる個人に関する情報の項目を公表する（第43条第3項）。第三者に提供するときは、あらかじめ項目と提供の方法を公表する。そして相手に、匿名加工情報であることをはっきり示す（第43条第4項・第44条）。本人の同意は求められていません。
• 個人関連情報：提供先が個人データとして取得することが想定されるときは、先に確かめなければならない。本人の同意が得られていることなどを確かめないで、提供してはならない（第31条第1項）。

漏えい等の報告と個人情報保護委員会は、どこが問われるか

漏えい等の報告は、誰に何をするのか

第26条（漏えい等の報告等）は、個人データの漏えい・滅失（めっしつ。なくなること）・毀損（きそん。こわれること）などが起きたときの義務です。対象は「個人の権利利益を害するおそれが大きいもの」として、個人情報保護委員会規則で定める事態です。

第26条の条文上、報告の相手は「個人情報保護委員会」です。また、どんな漏えいでも報告が必要なのではありません。委員会規則で定める事態に限られます。報告の期限や具体的な事態は、法律の条文ではなく、個人情報保護委員会規則で決められています。法律の条文から答える問題では、「委員会規則で定める」という書き方そのものを覚えておけば足ります。

報告を受ける個人情報保護委員会は、どんな組織か

個人情報保護委員会は、第6章に定められています。問われやすいのは、組織の数字と、誰が任命するかです。表の「所轄（しょかつ）」は、その組織が属する先のことです。「罷免（ひめん）」は、職をやめさせることです。

数字や主体を入れ替えた選択肢になりやすい点は、3つです。委員長を含めると9人であること。任命に両議院の同意が要ること。所轄が内閣総理大臣であること。「委員8人」を「委員長を含めて8人」と読み違えないようにしてください。

情報公開法・公文書管理法には、どこまで触れておくか

同じ分野で、ほかに2つの法律の名前が出ることがあります。行政機関の保有する情報の公開に関する法律（情報公開法）と、公文書等の管理に関する法律（公文書管理法）です。深入りはしません。個人情報保護法との違いを一つずつ押さえる程度で十分です。

• 情報公開法第3条：「何人（なんぴと）も」、つまりだれでも、行政機関の長に対し、行政文書の開示を請求できる。請求できる人に限定がない書き方です。
• 個人情報保護法第76条第1項：「何人も」行政機関の長等に対し、「自己を本人とする」保有個人情報の開示を請求できる。主語は同じ「何人も」でも、対象は自分の情報に限られます。民間の会社などに対する開示請求（第33条）は、「本人は」で始まります。
• 公文書管理法第1条：公文書等を「健全な民主主義の根幹を支える国民共有の知的資源」と位置づけています。目的の規定のこの言葉だけは押さえておきます。

自作の問題で確かめる

令和8年4月1日時点の条文で作った問題です（このサイトのオリジナル問題）。

1. 要配慮個人情報であっても、オプトアウトの手続をとれば、本人の同意なく第三者に提供できる。→ 誤り。第27条第2項ただし書で、要配慮個人情報はオプトアウトの対象から除かれています。
2. 個人データの取扱いを委託先に任せるために個人データを渡す場合、委託先は第三者に当たるので、本人の同意が必要である。→ 誤り。利用目的の達成に必要な範囲内の委託なら、第27条第5項第1号で第三者に該当しません。
3. 個人情報保護委員会の委員長および委員は、内閣総理大臣が単独で任命する。→ 誤り。第134条第3項で、両議院の同意を得て内閣総理大臣が任命します。
4. 個人関連情報は、生存する個人に関する情報のうち、個人情報・仮名加工情報・匿名加工情報のいずれにも該当しないものである。→ 正しい（第2条第7項）。

どの順番で、どこまで覚えるか

個人情報保護法は条文の数が多いので、全部を読もうとすると時間が足りません。当サイトでは次の順をすすめます。

1. 第2条と第16条の定義を、この記事の表の言葉で言えるようにする。
2. 第27条（原則・例外・オプトアウト・第三者に当たらない場合）を条文で読む。
3. 第26条の漏えい等の報告と、第6章の委員会の数字を覚える。
4. 余裕があれば、第17条〜第35条の見出しを一通り読み、どの段階の情報の義務かを確かめる。

時期は、行政法・民法の1周目が終わったあとが入りやすいです。行政法で学ぶ行政機関や委員会の考え方が、そのまま使えます。基礎知識の中でこの分野をどう位置づけるか、6問をどこで取るかは基礎知識の記事で扱っています。基礎知識の業務関連法令の中心になる行政書士法の改正は、行政書士法の改正の記事で扱っています。基礎知識の足切りの数え方は合格点と足切りの記事にあります。

次に読むなら、文章理解の記事がおすすめです。基礎知識の中で、個人情報保護法と並んで、準備した分が点になりやすい分野です。6問を固める組み合わせとして相性がよいからです。

参考にした公式の情報（2026年10月確認）

• e-Gov法令検索「個人情報の保護に関する法律」（令和8年4月1日時点の版〔令和7年6月1日施行〕で、第2条、第16条、第17条〜第35条の見出し、第20条、第26条、第27条、第31条、第33条、第41条、第42条、第43条、第44条、第76条、第130条〜第136条を確認）
• e-Gov法令API「個人情報の保護に関する法律」の改正履歴
• e-Gov法令検索「行政機関の保有する情報の公開に関する法律」（第3条）
• e-Gov法令検索「公文書等の管理に関する法律」（第1条）
• 行政書士試験研究センター「試験概要」
• 同「試験案内」
• 総務省「行政書士試験の施行に関する定め」