2021年6月20日（日）、暑い曇り空の中、横浜で個人情報保護士試験を受けてきた。
Motivation
データサイエンティストとして、ちょっと個人情報詳しいコーポレートのおじさんにマウント取られるのがマジで嫌だったというのが本音だが、もう少しひも解く。
・英国での4年間のデータサイエンティストとしての業務を通して、GDPRの影響を強く感じ、それに伴うデータガバナンスの徹底、体制化をすぐそばで見ていたこと。
・プライバシーの名のもとにどんどんIDなどが規制されていく中、この領域の最低限の必要リテラシーが明らかに高まっていること。
・法律、用語等による技術領域の表現の限界をきっちりと学習によって体感したい。
まぁ、この領域は、マーケ領域でもHR領域でもとにかく会話の中に出てくることが多いわりに、誰も正しく現行ルールを理解していない、もっと言えば「とにかくディフェンシブ」になり、「個人情報というだけで敬遠をする」「過剰な個人情報に対する対策をしてしまう」等の経営的な失策が多くなっていると感じたからだ。
Test
範囲は①個人情報保護の総論②個人情報保護の対策に分かれており、個人情報保護法、個人番号、リスクマネジメント、監査、情報セキュリティなど多岐にわたる。
テスト自体は、150分で、100問を解くストロングスタイル。私は比較的問題を解くのが早い方だと思う（特にマーク式）。センターもそうだけど、大体20％くらい時間が余るが、このテストに関してはそこまで時間は余らなかった。
回答はすべて4択だが、「誤っているものを選びなさい」という問いが恐らく全体の6－7割を占めると思う。2割が「適切なものを選びなさい」、１割が（）に用語を埋めるものだった。この誤っているものを選ぶスタイルは、誤りの部分がすぐに特定できれば強いのだが、ツボにはまると、「4つとも正しい」選択肢に見えてしまう可能性が高い。
Result
解答速報を見たら、第一部42/50、第二部44/50だった。
少し前から、それぞれのパート7割というのが合格基準になっているそうなので、恐らく通過していると思う。
Study method
学習方法だが、下記のサイクルを高速で回すことをお勧めする。
公式が薦めてくるSMART講座と公式問題集は、私はほとんど使っていない。とにかく読みづらいし、面白くない。 内容が私のような下世話な人間には高度過ぎたので、アプリの過去問集と下記のウェブサイトを活用した。
②これで合格！ 個人情報保護士 – 個人情報保護士の資格取得にむけて徹底解説
一つ目のアプリも、一問解いておしまいとかはできず、個人情報保護法範囲の問題の場合、1サイクル40問解かねばならず、問題の性質上、スマホと30分以上向き合うことになる。そこらへんのUI/UXは改善してほしい以外の何物でもないが、実際の試験とそれなりにかぶってくることから、①以外のめぼしい対策方法がないのが現状である。問題集もあるのだが、これも結構評判が悪い。
②は、まだ何もわかっていない状態の時に、流しとして読むと、全体観が頭に入ってくる。公式参考書は、あまりに冗長で、それぞれの条文に異常なほどの解釈と事例を載せているため、体系的な整理をしにくい。それに比べて、このウェブサイトは本当に良くまとまっているし、本気を出せば1日、2日で読めてしまうサイズ感も素晴らしい。
大体②を最初に通しで読んで、必要があれば、メモなどを取る。あとは①を最低2週くらいすると、どこが「頻出の誤り」「論点」かがわかってくるので、問題を解くスピードが鍛えられると思う。唯一参考書があるとすれば、頻出の論点について、深い理解をしたい場合に、ググってみるだけではわからないことがあれば、使ってみるのが良いだろう。
加えて、この試験では対策のしようがない、参考書外の問題が3－4問 出る。例えば、令和4年に改正される個人情報保護法の問題も今回1問出ていた。
個人的に一番苦戦したのは、個人情報、個人データ、要配慮個人データ、匿名個人情報などに関して、それぞれ利用目的の通知、公表、及び取得における本人の承認の必要性が、毎回混乱していた。更にそこから例外、及びあらかじめの通知か事後通知かなどを考えていくと、正直一度エクセルなどで整理しないととてもハンドルできないと感じた。
大体4月の初めに申し込んで、ダラダラと教科書を見ていたが、実質ちゃんと勉強していたのは、②のサイトを見てからなので、GW明けだった。ただ、1か月、一日30分くらい①のアプリを解き続けて、わからないところを復習できれば、受かると思う。
Impressions
受けてみての感想だが、結果受けてよかったと思っている。
一つ目に個人情報保護法の思想や、原則については間違いなくこの試験を通じて詳しくなれた。勿論、細かい現場での判断には弁護士も含めての議論が必要になる可能性は高いが、丸投げになり、過剰にディフェンシブな判断をするリスクは低減できたと思う。
加えて、個人的にはIT用語の勉強になったのも良かった。例えば、「真正性」というセキュリティ、管理等の評価体系などを仕入れる機会にもなったし、CSRF（クロスサイトリクエストフォージェリ)とか聞いたことなかったので、これらのワードについて学べたのも良かったと思う。
SMART講座はインターフェースが改善されるまでは、待ちで、シンプルに試験だけ受けるのがお勧めかもしれない。
