小売業のB社は、会員データ（個人データ）を用いた需要予測モデルの開発を、AI開発ベンダーのC社に委託することにした。B社は会員データの利用目的に「購買履歴の分析による需要予測」を含めて公表しており、C社には開発に必要な範囲の会員データを渡す。この場面の説明として、最も適切なものを1つ選べ。
正解と解説を見る
解説
正解 A
この問題の論点：AI開発の委託と個人データ
ポイント
委託先は第三者に当たりませんが、個人データを扱えるのは委託された業務の範囲内に限られます。
選択肢ごとの解説
- A
適切 正解
利用目的の達成に必要な範囲で個人データの取扱いを委託する場合、委託先は第三者に当たりません（法27条5項1号）。そのため、本人の同意やオプトアウトの手続なしに提供できます。
- B
不適切
委託に伴う提供として本人の同意なく渡せるのは、B社の利用目的の達成に必要な業務のためのデータに限られます。他社にも販売する汎用モデルの学習はC社自身の目的のための利用であり、委託の範囲を超えます。
- C
不適切
委託元は、委託先で個人データの安全管理が図られるよう、必要かつ適切な監督を行う義務を負います（法25条）。適切な委託先の選定、委託契約の締結、取扱状況の把握などが求められます。
- D
不適切
利用する者の範囲などを事前に本人へ通知する必要があるのは共同利用の場合です（法27条5項3号）。委託にはこの要件はありません。委託先が委託元のために扱うのか、複数の事業者が共同で利用するのかで区別します。
補足
2026年7月に公布された改正個人情報保護法（令和8年法律第56号）では、委託先が委託業務の遂行に必要な範囲を超えて個人情報を取り扱うことを禁じる規定（30条の3）が新設されます。主要な規定は2026年10月30日時点で未施行です。また、個人データを含むプロンプトを生成AIサービスに入力する場合は、そのデータが機械学習に使われないことなどを十分に確認するよう、個人情報保護委員会が2023年6月に注意喚起しています。
試験での狙われ方
委託・共同利用・第三者提供の区別と、委託元の監督義務を組み合わせた事例問題の形で問われやすい論点です。
参考
- G検定 試験出題範囲（シラバス2024）第1.4版 （法律・倫理分野 項目1 個人情報保護法）
- 個人情報の保護に関する法律（e-Gov法令検索） （25条、27条5項）
- 個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」 （3-4-4 委託先の監督、3-6-3 第三者に該当しない場合）
- 個人情報保護委員会「生成AIサービスの利用に関する注意喚起等」（2023年6月2日）
- 個人情報保護委員会「令和8年 改正個人情報保護法について」