個人データを本人の知らないところで使われたり渡されたりしないように、個人情報保護法は本人の同意を軸にした決まりを置いています。
同意の取得とオプトイン・オプトアウト
本人の同意は、事業者が示した取扱いの方法を、本人が承諾したという意思表示です。個人情報保護委員会のガイドラインは、同意を得ている例として、口頭で同意すると言われた、同意の書面やメールを受け取った、確認欄に本人がチェックした、ホームページの同意ボタンを本人が押した、などを挙げています。どう使うのかを本人が判断できる内容を示したうえで得る必要があり、本人に判断する力が無い場合（子どもなど）は、親権者や法定代理人などから得ます。
同意の取り方には、向きの違う2つの方式があります。
オプトインは同意が先、オプトアウトは本人の申し出があってから止めます。
オプトイン … 先に本人の同意を得て、同意した人にだけ行う方式。同意しなければ何も始まらない
オプトアウト … 本人の同意なしに始め、本人から「やめてほしい」と求められたら止める方式
同意が先ならオプトイン、本人の申し出で止めるならオプトアウトです。会員登録の画面で「新着情報をメールで受け取る」に自分でチェックを入れた人にだけ送るのはオプトインです。オプトアウトの例は、このあとの節で扱う住宅地図や名簿の事業です。なお、利用者が自分の意思で取引や手続をやめるのは、事業者が本人の求めに応じて止めるしくみではないので、オプトアウトではありません。広告メールについては、特定電子メール法がオプトインを原則にしています（その他のセキュリティ関連法規）。
第三者提供は本人の同意が原則
会社が持っている個人データ（データベースなどにまとめた個人情報。個人情報保護法の定義）を、ほかの者に渡すことを第三者提供といいます。法律は、あらかじめ本人の同意を得ないで個人データを第三者に提供してはならないと定めています。つまり原則はオプトインです。
「第三者」は、会社の外の者すべてです。親会社や子会社、グループ会社も別の会社なので第三者で、フランチャイズの本部と加盟店の間、同業者どうしの交換も第三者提供です。同じ会社の中で別の部署に渡すのは第三者提供ではありません（ただし、最初に決めた利用目的の範囲を超えて使うには、やはり本人の同意が要ります）。
原則は同意。例外と「第三者にあたらない」場合だけ、同意なしで渡せます。
同意がなくても渡せる例外は、法律が次のように限っています。
同意なしで第三者に提供できる場合
法令に基づく場合 … 警察の捜査関係事項照会、裁判官の令状による捜査、税務署の調査に応じるなど
人の生命・身体・財産の保護に必要で、本人の同意を得るのが難しいとき … 急病で意識の無い人の血液型や家族の連絡先を医師に伝える、大きな災害で被災者の情報を家族や自治体に伝えるなど
公衆衛生の向上や児童の健全な育成に特に必要で、本人の同意を得るのが難しいとき
国の機関や地方公共団体の法令の事務に協力する必要があり、同意を得るとその事務に支障が出るおそれがあるとき
学術研究のための一定の場合
どれも「必要があるから」だけでは足りず、決まった場面に限られます。営業や勧誘のために渡すのは、相手に頼まれた場合でも例外にあたりません。
もう1つ、渡す相手が第三者にあたらないとされる場合があります。利用目的の範囲で個人データの取扱いを委託する場合（商品の配送を宅配業者に頼む、データの入力を外部に任せるなど。委託した会社には委託先を監督する義務があります）、合併や事業の譲渡で事業を承継する場合、決まった相手と共同利用することを、項目や利用する者の範囲などとあわせて前もって本人に知らせている（本人が容易に知り得る状態に置くのでもよい）場合の3つです。同意なしで渡せるのは、法律が挙げた例外と、第三者にあたらない3つの場合だけです。
外国にある第三者に渡すときは、原則として「外国にある第三者への提供を認める」という同意が要り、その国の制度などの参考になる情報も本人に示します。また、第三者に提供したときと受け取ったときは、原則として相手や日付などの記録を作って保存します。違反して第三者に提供されている場合、本人は提供の停止を求められます。
ある通信販売の会社の担当者が、顧客の個人データの扱いを確かめています。次のうち、本人の同意を得ずに個人データを渡してよいのはどれですか。
× グループ会社も別の会社なので第三者です。勧誘に使わせるのは例外にもあたらず、共同利用として前もって本人に知らせているわけでもないので、本人の同意が要ります。
○ 正解 注文された商品を届けるために、宅配業者に届け先の氏名と住所を渡すです。
配送という利用目的の範囲で取扱いを委託しているので、宅配業者は第三者にあたりません。会社は委託先を監督する義務を負います。
× 相手に頼まれたことは例外の理由になりません。法令に基づく場合でも、命や財産を守るための場合でもないので、本人の同意が要ります。
× 第三者提供そのものです。同意を得ていないなら、次の節のオプトアウトの手続を踏んでいない限り渡せません。
オプトアウトによる第三者提供
原則はオプトインですが、法律は手続を踏めばオプトアウトで第三者に提供することも認めています。本人の求めに応じて提供を止めることにしたうえで、次の手続をとった場合です。
知らせて、届け出てから提供し、求められたら止めます。要配慮個人情報はこの方法では渡せません。
オプトアウトで提供するための手続
本人に知らせる … 第三者への提供を利用目的とすること、提供する項目、取得の方法、提供の方法、本人の求めで止めること、求めの受け付け方などを、前もって本人に通知するか、本人が容易に知り得る状態に置く
個人情報保護委員会に届け出る … 届け出た内容は委員会が公表し、事業者自身もインターネットなどで公表する
求められたら止める … 本人から求めがあれば、その人の個人データの提供を止める
ガイドラインが挙げる例は、住宅地図や住宅地図のデータベースを作って売る事業、名簿を作って売る事業です。載せることに前もって同意していなくても、本人が申し出れば、その人の分は載せるのをやめます。
要配慮個人情報は、オプトアウトでは第三者に提供できません。病歴や犯罪の経歴などを含む個人データは、法律の例外や第三者にあたらない場合を除き、本人の同意を得てから渡します。不正な手段で取得した個人データと、ほかの事業者からオプトアウトで受け取った個人データも、オプトアウトで渡すことはできません。
データマスキングと本人を分かりにくくする加工
個人データを分析やテストに使うとき、本人を見分ける手がかりを減らしておけば、漏れたときの害も小さくなります。データマスキングは、データの値の一部または全部を、記号や別の値に置き換えて見えなくする技法です。カード番号の下4桁だけを残して残りを「＊」にする、氏名の一部を伏せる、といった使い方をします。
消す、おおまかにする、まとめる、隠す。どれも本人を見分ける手がかりを減らす加工です。
個人情報保護委員会のガイドラインは、匿名加工情報を作るときの手法の例として、次のようなものを挙げています。
加工の手法の例（委員会のガイドラインから）
削除 … 項目ごと、ある人の記録ごと、ある人のある値だけを消す
一般化 … 上位の概念に置き換える、数値を丸める。商品名をその分類名にするなど
トップ（ボトム）コーディング … 特に大きい（小さい）数値をまとめる。80歳以上を「80歳以上」にするなど
ミクロアグリゲーション … グループに分けて、グループの代表の値に置き換える
データ交換（スワップ） … 人どうしの値を入れ替える
ノイズ（誤差）付加 … 乱数のような値を加えて、別の値にする
疑似データ生成 … 人工的に作ったデータを混ぜる
大事なのは、置き換えが元に戻せないことです。ガイドラインは、置き換えは元の値を復元できる規則性の無い方法で行うよう求めていて、決まった計算をそのまま当てはめるだけだと元の値を割り出せるおそれがある、と注意しています。見えなくしても、元に戻す手がかりが残っていれば本人は分かります。どこまで加工すれば匿名加工情報や仮名加工情報になるかは法律と個人情報保護委員会の規則で決まっていて、マスキングしただけで匿名加工情報になるわけではありません（仮名加工情報と匿名加工情報）。
仕組みの面からプライバシーを守る取組もあります。企画や設計の段階から保護を組み込むプライバシーバイデザインと、その手法の1つで影響を事前に評価する PIA（情報セキュリティの考え方）、個人情報を適切に扱う体制を整えていると評価された事業者が使えるプライバシーマーク（情報セキュリティの制度）、個人情報の扱い方を示すプライバシーポリシー（情報セキュリティ諸規程）です。
スポーツクラブが、会員の利用記録を外部の分析会社に渡す前に加工します。会員の年齢の列に、103歳の会員が1人だけいて目立ちます。この人を見分けにくくする加工として、最も適切なものはどれですか。
○ 正解 90歳以上の年齢を、すべて「90歳以上」にまとめるです。
特に大きい数値をまとめるトップコーディングです。103歳という目立つ値が、ほかの高齢の会員と区別できなくなります。
× 決まった計算は、規則が分かれば元に戻せます。いちばん大きい値の人がいちばん大きいままなので、目立つ人もそのまま分かります。
× 氏名を消しても、103歳という珍しい値が残るので、その人だと見当がつきます。
× 鍵があれば元の年齢に戻せるので、何も隠れていません。
まとめ
この回で持ち帰ること
1. 本人の同意＝示された扱い方を本人が承諾する意思表示。口頭・書面・メール・チェック欄・ボタンなどで得る。子どもなどは親権者や法定代理人から
2. オプトイン＝先に同意を得た人にだけ行う。オプトアウト＝同意なしに始め、本人の求めで止める
3. 第三者提供は、あらかじめ本人の同意が原則。グループ会社も第三者。例外は法令に基づく場合、生命・身体・財産の保護で同意を得るのが難しい場合など
4. 委託・事業の承継・共同利用では、受け取る側は第三者にあたらない
5. オプトアウトの提供＝本人に知らせ、個人情報保護委員会に届け出て、求められたら止める。要配慮個人情報はオプトアウトで渡せない
6. データマスキング＝値を記号などで隠す。一般化・トップコーディング・ノイズ付加なども、元に戻せない方法でなければ意味がない
この節で解ける公開問題
令和4〜8年度の公開問題のうち、この節の知識で解ける問題は次の2問です。
オプトインとオプトアウト
教科書の一覧（現行の試験の順）教科書の一覧（新しい試験の順）過去問
Udemy の ITパスポート講座を、受講者数・★評価・口コミで比べたページです（広告を含みます）。
出典：IPA「ITパスポート試験 シラバス（案）Ver0.1」（2026年8月31日）、「ITパスポート試験 シラバス Ver6.5」、 「個人情報の保護に関する法律」（e-Gov 法令検索）、 個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」「同（仮名加工情報・匿名加工情報編）」、 JIPDEC「プライバシーマーク制度 制度の概要」。 練習問題は当サイトが説明のために作ったものです。