広告配信事業を営むK社は、Cookie IDに結び付いたWebサイトの閲覧履歴をデータベースで管理している。このデータには氏名などが含まれず、K社では特定の個人を識別できない。EC事業者のL社は、このデータの提供を受け、Cookie IDを介して自社の会員データ（個人データ）に結び付け、AIによる商品推薦に使う予定である。K社からL社への提供に関する説明として、最も適切なものを1つ選べ。
正解と解説を見る
解説
正解 B
この問題の論点：個人関連情報の第三者提供
ポイント
提供元では個人情報でなくても、提供先で個人データとして取得することが想定されるなら、提供元は本人の同意が得られていることを確認します。
選択肢ごとの解説
- A
不適切
K社の閲覧履歴は、個人情報ではない個人関連情報です。ただし、提供先が個人データとして取得することが想定されるときは、本人の同意が得られていることなどを確認しなければ提供できません（法31条1項）。
- B
適切 正解
提供先が個人データとして取得することが想定されるときは、提供元が本人の同意の有無を確認します（法31条1項1号）。確認は提供先から申告を受ける方法などで行い（規則26条1項）、その記録も作成します（法31条3項）。
- C
不適切
K社が扱うのは個人データではないため、個人データの第三者提供のルール（法27条）ではなく、個人関連情報のルール（法31条）がかかります。法31条には、オプトアウトで同意の確認を省く仕組みはありません。
- D
不適切
同意を取得する主体は、本人と接点を持ち、情報を利用する提供先のL社が原則です（通則編3-7-2-2）。提供元のK社が同意の取得を代行することも認められますが、K社が必ず自ら取得するという決まりはありません。
補足
2026年7月に公布された改正法は、Cookie IDやメールアドレスなど特定の個人に連絡できる記述等を含む個人関連情報について、不適正な利用と不正な取得を禁止する規定（31条の2）を設けました。2026年10月31日時点では施行されていません。
試験での狙われ方
Cookie IDや閲覧履歴の提供で、提供元と提供先のどちらの立場で判断するか、誰が同意を取るかを入れ替えた選択肢が並びやすい論点です。
参考
- G検定 試験出題範囲（シラバス2024）第1.4版 （法律・倫理分野 項目1 個人情報保護法）
- 個人情報の保護に関する法律（e-Gov法令検索） （2条7項、27条、31条）
- 個人情報の保護に関する法律施行規則（e-Gov法令検索） （26条1項）
- 個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」 （2-8 個人関連情報、3-7 個人関連情報の第三者提供の制限等）
- 個人情報保護委員会事務局「個人情報保護法等の一部を改正する法律について」（2026年7月） （第3 1 特定の個人に対する働きかけが可能となる個人関連情報に関する規律）