QJ28A039　必修問題

接骨院のような民間の施術所が個人情報取扱事業者にあたる。国の行政機関、地方公共団体、独立行政法人等は、この問題が出題された2020年当時の個人情報保護法では個人情報取扱事業者から除かれていた。

出題時点の個人情報保護法では、個人情報データベース等を事業のために用いる者を個人情報取扱事業者と定義していた。2017年に全面施行された改正で、取り扱う個人情報が5,000人分以下の事業者を除外する規定が撤廃されたため、規模を問わず民間の事業者が該当することになった。一方、国の機関は行政機関個人情報保護法、地方公共団体は各自治体の個人情報保護条例、独立行政法人等・地方独立行政法人は独立行政法人等個人情報保護法という別の法令で規律されており、個人情報保護法上の個人情報取扱事業者からは除外されていた。接骨院は氏名・生年月日に加え、傷病名や施術内容といった要配慮個人情報を含む情報を扱うため、利用目的の特定と通知・公表、安全管理措置、第三者提供の制限などを守る必要がある。なお2021年の法改正（2022年4月施行）で公的部門も個人情報保護法に一本化されたが、本問は出題年時点の枠組みで判断する。