第1章 ビジネスマインドとデータリテラシー
DS検定のデータ倫理と個人情報（利用目的・ポータビリティ）
DS検定（リテラシーレベル）の公式スキルチェックリストには、データの扱い方の倫理と、個人情報に関する法令の理解が、★1つ星の項目として入っています。用語を覚えるだけでは、場面を示されたときに何が問題かを選びにくいので、このページでは、個人情報保護法の条文を読んだうえで、3つの架空の事例に当てはめます。倫理の問題は、「データをどう作ったか」と「集めた目的の範囲で使っているか」の2つに分けると判断しやすくなります。
このページは試験の学習用の整理で、個別の案件への法的助言ではありません。事例の会社と商品はすべて架空です。
公式情報の確認
試験日、料金、申込条件、試験方式など変動する情報は、公式情報を最終確認してください。 当サイトの一次情報確認日: 2026-10-02。
試験の出題範囲・実施要項は変動するため、受験前に公式情報を確認してください。
結論
- データのねつ造・改ざん・盗用をしないことが、データを扱う人の倫理の出発点
- データ、AI、機械学習は、偽の画像・音声やフェイク情報の作成など、意図的に悪用されることがある。悪用の可能性を知ったうえで使う
- 個人情報は、利用目的をできる限り特定し、その範囲で使う。範囲を超えるときは、あらかじめ本人の同意が要る（第17条・第18条）
- データポータビリティは、本人が提供した自分のデータを、機械で読める形で受け取り、別の事業者へ移せる権利（GDPR第20条）
データ・AI倫理の2項目
公式スキルチェックリスト（foundation.csv）の行動規範のデータ・AI倫理には、★1つ星の項目が2つあります。
- データを取り扱う人間として相応しい倫理を身につけている（データのねつ造、改ざん、盗用を行わないなど）
- データ、AI、機械学習の意図的な悪用（真偽の識別が困難なレベルの画像・音声作成、フェイク情報の作成、Botによる企業・国家への攻撃など）があり得ることを踏まえ、技術に関する基礎的な知識と倫理を身につけている
1つ目は分析者自身の行動、2つ目は技術が悪用される可能性への理解を問う項目です。
個人情報保護法の利用目的
公式スキルチェックリストのコンプライアンスの項目は、データの倫理的な活用上の許容される範囲と、ユーザー側への必要な許諾を概ね理解していることを挙げ、直近の個人情報に関する法令として、個人情報保護法、EU一般データ保護規則、データポータビリティを例示しています。個人情報保護法の利用目的に関わる条文は次の3つです。
- 第17条：個人情報取扱事業者は、利用目的をできる限り特定しなければならない。変更するときは、変更前と関連性を有すると合理的に認められる範囲を超えてはならない
- 第18条第1項：あらかじめ本人の同意を得ないで、特定された利用目的の達成に必要な範囲を超えて個人情報を取り扱ってはならない
- 第21条第1項：個人情報を取得したときは、あらかじめ利用目的を公表している場合を除き、速やかに利用目的を本人に通知するか公表しなければならない
第18条第3項には、法令に基づく場合など、第1項が適用されない例外が定められています。試験の範囲では、まず「目的を決めて伝える」「目的の範囲を超えるなら同意」という原則を押さえます。
3つの事例で判断
| 事例 | このページの読み方 |
|---|---|
| 事例A：会員の購入履歴を、会員向けクーポンの配信のために集めた。同じ会社の中で、そのデータを広告配信用の分析にも使い始める | 取得時に特定した利用目的（クーポン配信）の範囲を超える使い方。第18条第1項は、あらかじめ本人の同意を得ないで利用目的の達成に必要な範囲を超えて取り扱うことを禁じているので、同意の取得や目的の見直しが必要になる |
| 事例B：アンケートの結果が思わしくないので、分析者が仮説に合うよう一部の回答の数字を書き換えて報告した | 公式チェックリストが挙げる、データのねつ造・改ざんにあたる。★1つ星の項目で、データを取り扱う人間として相応しい倫理を身につけていることが求められている |
| 事例C：他人そっくりの音声を合成し、その人が発言したように見せかけた音声を作る | 公式チェックリストが、意図的な悪用の例として挙げる「真偽の識別が困難なレベルの画像・音声作成」。技術の基礎知識と倫理を身につけることが求められている |
事例Aは法律上の利用目的の問題、事例Bは分析者の行動の問題、事例Cは技術の悪用の問題です。問題文を読むときは、どの種類の問題かを先に決めると、選択肢を絞りやすくなります。
データポータビリティ
GDPR第20条第1項は、本人が管理者に提供した自分の個人データを、構造化され、一般的に使われ、機械で読み取れる形式で受け取る権利と、それを妨げられずに別の管理者へ移す権利を定めています。たとえば、ある会員サービスに登録した自分のデータを、表計算ソフトで開ける形式で受け取り、別のサービスへ移すイメージです。同項は、処理が同意または契約に基づき、かつ自動化された手段で行われる場合に限っているので、あらゆるデータが対象になるわけではありません。
DS検定の学習に使う書籍（Amazon）
試験範囲を通して読むときの1冊です。読んだ章は、このサイトの章別問題で確かめられます。
よくある質問
DS検定でデータ倫理はどこまで必要ですか？
公式スキルチェックリスト（foundation.csv）の行動規範に、★1つ星の項目として、データのねつ造・改ざん・盗用を行わないこと、データ・AI・機械学習の意図的な悪用があり得ることを踏まえた基礎知識と倫理、データの倫理的な活用上の許容範囲とユーザー側への必要な許諾の概ねの理解が入っています。法律の細かい条文の暗記より、場面ごとに何が問題になるかを判断できる状態が目安です。
個人情報とは、何を指しますか？
個人情報保護法第2条第1項は、生存する個人に関する情報で、氏名、生年月日その他の記述等により特定の個人を識別できるもの（他の情報と容易に照合でき、それにより識別できるものを含む）と、個人識別符号が含まれるものとしています。亡くなった人の情報は、この定義には入りません。
集めたデータを別の目的で分析するときは、どうしますか？
第17条は利用目的をできる限り特定することを求め、利用目的を変えるときは、変更前と関連性を有すると合理的に認められる範囲を超えてはならないとしています。第18条第1項は、あらかじめ本人の同意を得ないで、特定された利用目的の達成に必要な範囲を超えて取り扱うことを禁じています。範囲を超えるなら、同意を得るか、目的を見直します。
データポータビリティとは何ですか？
EU一般データ保護規則（GDPR）第20条第1項は、本人が管理者に提供した自分の個人データを、構造化され一般的に使われ機械で読み取れる形式で受け取る権利と、それを妨げられずに別の管理者へ移す権利を定めています。ただし、同項は適用される場合を条件で絞っています。
個人情報の取得時には、何を本人に伝えますか？
第21条第1項は、個人情報を取得したときは、あらかじめ利用目的を公表している場合を除き、速やかに利用目的を本人に通知するか公表することを求めています。