ITパスポートの公開問題600問（令和3〜8年度）で個人情報保護法を問う4問を、要配慮個人情報・オプトアウト・同意なしの提供・匿名加工情報の順に条文で解きます。マイナンバー法・GDPRの問題、罰則の現行と2027年1月17日からの変更、令和8年改正で論点がどう変わるかも整理します。
目次
結論：ITパスポートの公開問題600問（令和3〜8年度）で、個人情報保護法を問う問題は4問です。要配慮個人情報・オプトアウト・同意なしの提供・匿名加工情報の4つで、どれも用語の意味か場面の当てはめを選ぶ形でした。罰則は2027年1月17日に重くなり、条番号も変わります。
ITパスポートで個人情報保護法はどう出る？公開問題600問で4問
公開問題600問のうち、個人情報保護法を問う問題は4問で、令和4・6・8年度に出ています。
集計は、合格ナビの問題データ（IPA公開問題 令和3〜8年度・600問・集計日 2026-10-30）です。シラバスの項目にそって、1問ずつ読んで分けました。
公開問題は、各年度に実際に出た問題のうち100問です（IPA）。CBT方式の試験全体での出題数ではありません。
| 年度・問 | 問われた論点 | 問題の形 | 正解 |
|---|---|---|---|
| 令和4年度 問27 | 要配慮個人情報 | 4つの語から該当するものを選ぶ | エ（信条） |
| 令和4年度 問23 | オプトアウト | 説明に合う事例を選ぶ | イ |
| 令和6年度 問27 | 本人の同意なしで提供できる場合 | 3つの事例から全て選ぶ | イ（aとc） |
| 令和8年度 問13 | 匿名加工情報 | 正しい説明を選ぶ | ウ |
正解は、IPAの解答例と照らし合わせて確かめました。
シラバス Ver.6.5 では、ストラテジ系の「法務」の中の「5. セキュリティ関連法規」に個人情報保護法があります。用語例は次のとおりです。
- 個人情報取扱事業者、個人情報保護委員会、個人識別符号
- 要配慮個人情報、匿名加工情報
- オプトイン、オプトアウト、第三者提供、マイナンバー法
4問は、このうち要配慮個人情報・オプトアウト・第三者提供・匿名加工情報に当たります。
個人情報保護法は、預かった名簿の「使い方の約束」のようなものです。試験は約束の全文ではなく、「この場面は約束の内か外か」を問います。
定義や事業者の義務の全体は、個人情報保護法の構成と定義で条文にそって整理しています。この記事は、ITパスポートの問題に出た所だけを扱います。
参考：IPA ITパスポート試験 シラバス Ver.6.5、IPA 過去問題（問題冊子・解答例）
4問の解き方：要配慮・オプトアウト・同意なしの提供・匿名加工
4問は、それぞれ条文の1か所を思い出せば解けます。条文は e-Gov 法令検索の現行条文です（2026-10-30確認）。
令和4年度 問27：要配慮個人情報
選択肢は学歴・国籍・資産額・信条で、正解はエ「信条」です。
2条3項は、要配慮個人情報の例として、人種・信条・社会的身分・病歴・犯罪の経歴・犯罪により害を被った事実を挙げています。学歴・国籍・資産額は、この条文が挙げる語に入っていません。
「人種」はあっても「国籍」はない点が、引っかけになりやすい所です。
令和4年度 問23：オプトアウト
正解はイで、住宅地図に自分の氏名が載っているのを見つけた人が、作製業者に連絡して掲載をやめさせた事例です。
本人の求めがあれば、後から提供を止める仕組みをオプトアウトといいます（27条2項）。
- アの「希望した利用者だけにメールを配信」は、先に同意を得るオプトインの考え方です。
- エの「氏名などをランダムな値に置き換える」は加工の話で、オプトアウトではありません。
オプトアウトでは、要配慮個人情報を第三者に提供できません（27条2項ただし書）。
令和6年度 問27：本人の同意なしで提供できる場合
正解はイ（aとc）です。原則は「あらかじめ本人の同意」が要り（27条1項）、例外は同じ項の各号に並んでいます。
- a：意識不明の人の自宅電話番号を、搬送先の病院に教えた事例です。人の生命・身体の保護に必要で、本人の同意を得ることが難しい場合に当たります（27条1項2号）。
- c：捜査機関の、法令に基づく要請に応じた事例です。「法令に基づく場合」に当たります（27条1項1号）。
- b：保険の勧誘のために新入社員の名簿を渡すのは、どの例外にも当たりません。本人の同意が要ります。
令和8年度 問13：匿名加工情報
正解はウです。ウは、法令の方法で匿名化して復元できないようにし、一定のルールで本人の同意なく使える情報、と説明しています。
2条6項は、匿名加工情報を「当該個人情報を復元することができないようにしたもの」と定めています。イの「元の個人情報への復元を担保した情報」は、この定義と逆です。
第三者に提供するときは、含まれる項目と提供の方法を公表します。相手には、匿名加工情報であることを明示します（43条4項）。本人の同意の代わりに、このルールに従います。
- 要配慮個人情報に該当するもの（令和4年度 問27）
- オプトアウトに関する記述（令和4年度 問23）
- 本人の同意なしで個人データを提供できる場合（令和6年度 問27）
- 匿名加工情報の説明（令和8年度 問13）
マイナンバー法・GDPR・目的外利用：同じ項目から出た3問
個人情報保護法のほかに、同じ項目からマイナンバー法とGDPRが1問ずつ出ています。不正競争防止法の問題の選択肢に、目的外利用が出たこともあります。
令和4年度 問16：マイナンバー
正解はエ「付与されたマイナンバーを、自由に変更することはできない」です。
番号法7条2項は、番号を変える場合を定めています。個人番号が漏えいし、不正に使われるおそれがあるとき、市町村長が本人の請求又は職権で変えます。
令和5年度 問18：GDPR（一般データ保護規則）
EU域内・域外の事業者の組合せ4つから、GDPRの適用について正しいものを全て選ぶ問題です。正解はウ（aとc）です。
正解に入らないdは、EU域内に拠点がない事業者がEU域内にサービスを提供する場合を「適用の対象とならない」としています。正解から読むと、拠点が域外でも、EU域内に向けた提供は対象になりえます。
シラバスは、GDPRを「パーソナルデータの保護に関する国際的な動向」の用語例に挙げています。
令和3年度 問9：目的外利用は不正競争防止法か
不正競争防止法で規制される行為を選ぶ問題で、正解はエ（cだけ）です。
- a「応募者の個人情報を、無断で他の目的に使う」は、個人情報保護法18条1項の利用目的による制限の話です。
- c「他社の商品名や社名に似たドメイン名を、不正な利益のために使う」は、不正競争防止法2条1項19号に当たります。
法律名と、規制される行為の組合せを問う形です。ほかの法律の出方は、ITパスポートの法務の出題数にまとめています。
個人情報保護法の罰則：今の条文と2027年1月17日からの変更
罰則は2027年1月17日に重くなり、条番号も変わります。令和8年改正法のうち、罰則の部分が先に施行されるためです。
改正法の附則1条3号は、罰則の改正規定などの施行日を「公布の日から起算して六月を経過した日」としています。公布は2026年7月17日で、e-Gov 法令検索の改正履歴では2027年1月17日施行です。
| 違反 | 現行（2027年1月16日まで） | 2027年1月17日から |
|---|---|---|
| 個人情報保護委員会の命令に違反 | 1年以下の拘禁刑又は100万円以下の罰金（178条） | 1年以下の拘禁刑又は100万円以下の罰金（181条。改正法の全面施行までは、148条2項・3項の命令の違反に適用（改正法附則3条）） |
| 業務で扱った個人情報データベース等を提供・盗用 | 不正な利益を図る目的：1年以下の拘禁刑又は50万円以下の罰金（179条） | 損害を加える目的も対象：2年以下の拘禁刑又は100万円以下の罰金（178条） |
| 不正な利益を図る目的や損害を加える目的で、人を欺く・脅迫する・不正アクセス行為などにより個人情報を取得 | この罪はない | 2年以下の拘禁刑又は100万円以下の罰金（180条） |
| 上の命令違反・データベース等の提供を、法人の業務で行ったときの法人 | 1億円以下の罰金刑（184条1項1号） | 1億円以下の罰金刑（185条1項1号） |
新しい180条は、取得の手段の1つに不正アクセス行為を挙げ、不正アクセス禁止法2条4項の定義を引いています。法務の2つの法律が、ここでつながります。
刑の名前は、2025年6月1日の改正で「懲役」から「拘禁刑」に変わっています。古い教材の「懲役」は、今の条文の言葉ではありません。
個人情報保護法の主な罰則・現行：命令違反は1年以下の拘禁刑又は100万円以下の罰金（178条）、個人情報データベース等の不正提供・盗用は1年以下の拘禁刑又は50万円以下の罰金（179条）、法人は1億円以下の罰金刑（184条1項1号）。最終確認日：2026-10-30。出典：e-Gov 法令検索 個人情報の保護に関する法律。
2027年1月17日施行の罰則：個人情報データベース等の不正提供・盗用は2年以下の拘禁刑又は100万円以下の罰金（178条）、不正な利益を図る目的や損害を加える目的で、人を欺く行為などにより個人情報を取得すると2年以下の拘禁刑又は100万円以下の罰金（180条）、措置命令違反は1年以下の拘禁刑又は100万円以下の罰金（181条。改正法の全面施行までは148条2項・3項の命令の違反に適用、改正法附則3条）。最終確認日：2026-10-30。出典：e-Gov 法令API 個人情報の保護に関する法律（2027年1月17日施行版）。
令和8年改正で、公開問題4問の論点はどう変わる？
令和8年改正法は2026年7月17日に公布されました。2027年1月17日施行の罰則の部分も含めて、大部分はまだ施行されていません（2026-10-30時点）。
個人情報保護委員会によると、改正法は2026年4月7日に国会に提出され、7月10日に成立しました。委員会は「一部を除き、公布日から起算して２年以内で政令で定める日から施行」としています。
委員会は、政令・規則・ガイドラインの整備に向けた検討を続けています（2026年10月14日更新の資料）。公開問題4問の論点に関わる改正は、委員会の概要資料では次のとおりです。
| 公開問題の論点 | 改正の内容（概要資料の要点） |
|---|---|
| オプトアウト（令和4年度 問23） | オプトアウトで提供するとき、提供先の身元と利用目的の確認を義務にする（27条7項）。顔特徴データ等は、オプトアウトで提供できなくなる（27条2項） |
| 同意なしの提供（令和6年度 問27） | 統計情報等の作成にのみ使う場合は、第三者提供の本人同意を不要にする。生命等の保護・公衆衛生の向上等で、同意を得ることが難しいという要件を緩める |
| 要配慮個人情報（令和4年度 問27） | 公開されている要配慮個人情報の取得も、統計情報等の作成にのみ使う場合は本人同意を不要にする |
| 匿名加工情報（令和8年度 問13） | 連絡先などの記述を含む匿名加工情報等にも、不適正利用と不正取得の禁止を入れる |
概要資料は、統計情報等の作成に「統計作成等であると整理できるAI開発等」を含めています。条番号は、改正後の条文の番号です。
過去の公開問題の正解は、出題した時点の条文によるものです。施行の後は、オプトアウトや同意の例外の前提が変わる所があります。
令和8年改正法の施行時期：2026年7月17日公布。罰則の改正などは2027年1月17日施行（附則1条3号）、それ以外の大部分は公布の日から起算して2年を超えない範囲内で政令で定める日に施行（附則1条）。最終確認日：2026-10-30。出典：個人情報保護委員会「令和８年 改正個人情報保護法について」、公布についての報道発表。
参考：個人情報保護委員会「個人情報保護法等の一部を改正する法律について」（概要資料・PDF）
4問の論点を条文と結びつけて、個人情報保護法の問題を解こう
ITパスポートの公開問題で個人情報保護法を問うのは4問でした。要配慮個人情報・オプトアウト・同意なしの提供・匿名加工情報の当てはめです。罰則は2027年1月17日に重くなり、条番号が変わります。まず4問を解いて、正解の理由を条文の1か所と結びつけて確かめましょう。
よくある質問
QITパスポートでは、個人情報保護法の条文番号まで覚える必要がありますか？
公開問題の4問（令和4年度 問23・問27、令和6年度 問27、令和8年度 問13）は、どれも条文番号を問わず、用語の意味か場面の当てはめを選ぶ形でした。罰則の重さを問う問題も、この4問にはありません。条文番号は、正解の理由を確かめるときの手がかりとして使います。
Qシラバスの「パーソナルデータ」は、個人情報保護法の言葉ですか？
個人情報保護法の条文に「パーソナルデータ」の語はありません（e-Gov 法令検索、2026-10-30時点）。シラバス Ver.6.5 は「パーソナルデータ，個人情報，個人データの違いを理解する」としています。条文の言葉は「個人情報」（2条1項）と「個人データ」（16条3項）で、個人データは個人情報データベース等を構成する個人情報です。
法令や試験の数字は、改正や年度で変わります。この記事の最終確認日は2026年10月30日です。申込みや合格基準は、必ず試験団体の公式情報で確かめてください。
