CDPSEとは？仕事内容・難易度・費用と、プライバシーを実装する人の学び方

CDPSEは、個人に関するデータを扱うサービスやシステムに、プライバシー保護を組み込むための知識・経験を認定する資格です。米国に本部を置く専門家団体ISACAが運営しています。法律を知るだけでなく、収集するデータ、利用目的、保存期間、アクセス、同意や削除の仕組みをどう設計・運用するかに関係します。

例えば、会員の購買履歴を使っておすすめ商品を案内するサービスを考えます。暗号化やアクセス制限ができていても、分析用に複製したデータをいつまで残すか、利用者が設定を変えたときに外部サービスへどう反映するか、といった判断は残ります。CDPSEの学習範囲は、このような部門をまたぐ確認を含んでいます。

こうした仕事は、資格がなくても企画・開発・法務・セキュリティの担当者が行っています。では、既に仕事をしている人がCDPSEを学び、認定まで目指す意味はどこにあるのでしょうか。本記事では、試験・英語・費用・経験要件から、経験者が自分の知識を整理する使い方、企業が育成や配置で見るべき点まで説明します。

CDPSEとは？どの国の、何を扱う資格なのか

米国ISACAによる、個人を対象にした専門資格

正式名称はCertified Data Privacy Solutions Engineerです。日本語では「公認データプライバシーソリューションエンジニア」などと紹介されています。認定団体のISACAは、IT監査、情報セキュリティ、リスク、プライバシーなどを扱う国際的な専門家団体で、CISAやCISMも運営しています。

CDPSEは日本の国家資格ではなく、個人に対する認定です。企業の個人情報管理や製品そのものを認証する制度ではありません。また、初級・上級という複数の級には分かれておらず、CDPSEという一つの資格について、試験合格と実務経験等の条件が設けられています。ISACAのCDPSE公式案内

中心となる考え方は「プライバシー・バイ・デザイン」です。サービスを作った後で説明文を付けるだけでなく、何を集めるかを決める段階から、プライバシーへの配慮を設計に組み込むという意味です。既存サービスの変更にも関係します。

セキュリティとプライバシーは、重なるが同じではない

セキュリティでは、不正な閲覧・改ざん・停止などから情報やシステムを守ります。プライバシーでは、それに加えて、個人について何を知り、何のために使い、誰に渡し、どこまで残すのかを考えます。

例えば、分析用データへのアクセスが厳しく制限されていても、目的に対して不要な情報まで集めているなら、検討する余地があります。反対に、利用目的を丁寧に説明していても、設定変更が実際のデータ処理へ反映されなければ、説明と実装がつながりません。

CDPSEは、この両方を扱います。公式範囲には、利用目的やデータ最小化、同意、保存・廃棄とともに、アクセス管理、暗号化、ログ、APIやクラウドの知識も含まれます。「データ最小化」は、目的に必要なデータの種類や量に絞る考え方です。公式の試験範囲

何を学ぶ？現行の4領域と、保有者の仕事

法務・データ・開発をつなぐ4領域

現行の試験範囲は、次の4領域です。旧記事にある「ガバナンス・アーキテクチャ・データライフサイクルの3領域」とは分けて読む必要があります。2026年の公式受験ガイドでは、2025年からの現行範囲として4領域が掲載されています。

領域	出題比率	仕事と結びつけると何を学ぶか
プライバシーガバナンス	20%	方針・責任分担、委託先管理、本人からの申出、事故時の対応を組織として扱う
プライバシーのリスク管理・コンプライアンス	18%	個人への影響を評価し、対応方法や、その運用を示す証拠・指標を考える
データライフサイクル管理	23%	データの所在と流れ、利用目的、収集・移転・保存・廃棄を整理する
プライバシーエンジニアリング	39%	アクセス制御、暗号化、同意情報、追跡技術、匿名化等をシステムへ組み込む

比率は試験の構成であり、職場で使う時間の比率や、各分野の重要度を示すものではありません。ISACAの試験範囲

「ガバナンス」は、責任と意思決定の仕組みです。「ライフサイクル」は、取得から利用・保管・廃棄までの一連の過程です。これらを技術と一緒に扱うため、CDPSEはプログラムを書く技術だけの資格でも、条文を暗記する法律資格でもありません。

関係する仕事には、プライバシーエンジニア、システム・データ基盤の設計者、開発責任者、情報セキュリティやデータガバナンスの担当者などがあります。事業会社の内部で仕組みを作る場合も、外部から設計やリスク評価を支援する場合もあります。

保有者の肩書きだけで、得意分野を決めない

実際の保有者は、一つの職種に限られていません。AICPA & CIMAが2026年9月に掲載したPaul Perry氏の紹介では、CDPSEを含む複数の資格を保有し、内部統制、サイバーセキュリティ、IT評価、AIガバナンスなどの助言を担っています。CDPSEだけでその職務を担うようになったという説明ではありません。Paul Perry氏の職務紹介

企業が採用や配置で見る際は、資格名に加え、「どのデータを扱う仕組みで、どの判断や実装を担当したか」を確かめると役割が見えてきます。同じ保有者でも、委託先管理に詳しい人と、データ基盤や同意設定の実装に詳しい人では、任せやすい仕事が違います。

試験・難易度・認定条件｜英語受験と実務経験を分けて考える

試験は120問・3.5時間。日本語試験ではない

項目	現行の内容
出題形式	多肢選択式120問
試験時間	3.5時間（210分）
試験言語	英語
合格基準	200〜800の尺度得点で450以上
実施方式	PSIの認定テストセンター、または遠隔監督付き試験
申込・受験時期	通年登録。登録・支払い後の受験資格期間は6か月
実務経験	受験前に満たしていなくてもよい。正式認定までに要件を満たす

試験言語・問題数・時間は、2026年版の公式受験ガイド7ページのCDPSE欄で確認できます。450点は正答率56.25%という意味ではありません。問題への回答を尺度得点に換算する方式で、受験者の合格率とも別です。公式受験ガイド

難易度を一律に「簡単」「最難関」とするより、既存の経験でどの領域を説明できるかが重要です。例えば、クラウドや暗号化に詳しくても、保存期間や本人からの申出、委託先の責任分担に触れていなければ、その部分の学習が必要です。法務や方針策定の経験が中心なら、データの流れやアクセス・追跡技術の理解が負担になります。

加えて、英語で状況と選択肢を読み分ける負担があります。現在の公式公開資料では合格率や、受験者全体を代表する標準学習時間は確認できないため、特定の時間数で合格できるとはいえません。公式の無料練習問題と試験範囲で、内容と言語の両方を確かめると準備の見通しを立てやすくなります。公式練習問題

試験合格だけでは認定にならない

正式認定には、試験合格に加えて、関連する実務経験が累計3年以上必要です。経験は認定申請前の10年間に得たもので、上司・管理者などによる確認を受けます。合格から認定申請までの期限は5年です。

対象は、CDPSEの4領域に関係する実務です。職種名だけで機械的に決まるのではなく、公式範囲のどの仕事を、どの期間、実際に担当したかを整理することになります。申請には、職業倫理と継続教育の方針への同意も必要です。自分の担当範囲が要件に合うかは、申請時の案内と職務内容を照合する必要があります。認定条件と申請

2026年の受験ガイドでは、CDPSEの経験要件に免除・代替はありません。検索で見つかる2020〜2021年の「試験なしで認定」「他資格があれば経験年数を短縮」という紹介は、当時の早期導入制度の情報です。現在の申請方法としては使えません。

学習を始めること、試験に合格すること、CDPSEとして認定されることは別の段階です。経験が足りない社員への育成計画では、試験日だけでなく、関連する仕事をどう経験するかまで考える必要があります。

図：学習・受験・認定・維持は異なる段階です。学習のみを仕事に使う選択もあります。2027年からのCPE内訳変更は後述します。画像はクリックで拡大できます。

試験・教材・手続きの言語は別々に見る

確認対象	現在確認できる内容
資格試験	英語。日本語の紹介ページがあることと、日本語受験は別
公式教材・講座	現行の公式レビュー・マニュアル第3版、オンライン講座は英語表示
非公式教材・講座	提供者ごとに異なる。日本語の資格解説を、そのまま現行試験向け教材とみなさない
受験ガイド・申込・経験証明	日本語の受験ガイドあり。ただしCDPSE試験は英語、実際の申請・経験証明を日本語のみで完結できるかは未確認
遠隔試験の監督者との連絡	公式受験ガイドでは英語のライブチャット。他言語での連絡は提供しないと記載
個別サポート	日本語での個別対応が受けられるかは未確認

会社が受験を支援する場合、英語の勉強時間だけでなく、本人確認や試験環境の準備、経験を確認する上司との調整も含めると、本人にかかる負担を捉えやすくなります。

取得費用と維持費｜試験代以外に何が必要か

受験・認定申請と、任意の教材を分ける

費目	ISACA会員	非会員	区分
試験登録料	575米ドル	760米ドル	受験に必要
認定申請料	50米ドル	50米ドル	合格後の認定申請に必要
公式レビュー・マニュアル第3版（オンライン版）	109米ドル	139米ドル	任意の教材
公式オンライン講座	795米ドル	895米ドル	任意の講座
年間の資格維持費	45米ドル	85米ドル	認定後の維持

試験と認定申請だけなら、表示額の合計は会員625米ドル、非会員810米ドルです。教材・講座は別であり、全種類の購入が認定の必須条件ではありません。会員価格を使う場合のISACA会費は別にかかるため、受験料の差だけで入会の方が安いとは判断できません。税・送料・支払い時の換算等は購入条件により異なります。

価格は公式の資格案内、認定申請、教材販売、講座販売、資格維持の各案内によります。講座を受けるだけで資格が付与される制度ではありません。

毎年の継続学習と、2027年の変更予定

認定後は、継続教育を表すCPEを、毎年最低20時間、3年間で合計120時間取得・報告します。毎年20時間ずつでは3年間で60時間のため、合計要件には届きません。維持費の支払いに加え、活動記録を保管し、対象となった場合には監査への対応も必要です。維持条件

2027年1月1日からは、3年間120CPEの総量を維持しつつ、最低90CPEを資格の試験範囲に沿った活動とし、最大30CPEをリーダーシップやメンタリングなどの専門職としての成長に使える制度変更が告知されています。これは2026年の現行運用とは分けて考える変更予定です。ISACAの2027年CPE変更案内

企業の費用計画では、初回の試験・教材と、認定後の学習時間・維持費を分けると実態に近づきます。一度合格したら、追加負担なく資格を保持し続けられるわけではありません。

どんな仕事に関係する？会員データ活用を例に考える

既に安全に運用しているサービスにも、設計の判断は残る

ここからは、資格の学習範囲を仕事へ結びつけるための説明用の仮例です。実在企業の導入成果ではありません。

会員向けECで、購買履歴を基におすすめ商品を案内しているとします。ログイン、暗号化、権限管理は整備済みです。今後、外部の分析サービスを加え、サイトとメールを横断して案内内容を改善しようとしています。

このとき、単に「データを安全に送れるか」だけでは設計は終わりません。おすすめを作るために、氏名や住所まで分析側へ渡す必要があるのか。個人と結び付く識別子が必要なのか、集計値でも目的を満たせるのか。精度と必要なデータの細かさを、業務目的と合わせて検討します。

この判断には、マーケティング担当者の「何を改善したいか」、法務・プライバシー担当者の「どの条件で利用できるか」、開発・データ担当者の「どの情報を、どの形で扱えるか」が必要です。一人が全てを決めるのではなく、それぞれの判断を実装の条件へつなぎます。

図：会員ECのデータ活用と、横断して確認する条件の関係。説明用の仮例であり、一律の法的義務を示すものではありません。比率は現行試験の出題構成です。画像はクリックで拡大できます。

データの流れに沿って、決める内容を具体化する

判断する場面	具体的に確認する内容	関係する学習範囲
収集・利用目的を決める	改善したいのは商品選びか、配信タイミングか。その目的に必要な項目・粒度は何か	利用目的の制限、データ最小化、影響評価
外部サービスと接続する	どの識別子や履歴を渡し、相手は何に利用し、どこに保存するか	データフロー、委託先管理、API、移転
利用者が設定を変更する	画面の設定だけでなく、分析処理・配信先へどのように反映するか	同意情報の管理、追跡技術、運用手順
保存・削除を設計する	元データ、分析用の複製、外部への連携データの保存期間と削除方法をどうそろえるか	データの所在、保存・廃棄、本人からの申出
変更後も運用を続ける	委託先や利用目的が変わったとき、記録と設定を誰が更新するか	責任分担、継続的な評価、証拠・指標

この表は、すべての場合に同意取得や即時削除が法的に必要だと示すものではありません。適用されるルールや契約条件を踏まえて決めた方針を、実際のデータ処理へどう反映するかを説明しています。

例えば、利用者が案内の設定を変更しても、分析用の複製と配信サービス側の設定が別々に存在するなら、一つの画面を更新するだけで全処理が変わるとは限りません。データの流れと処理の担当を把握して初めて、「どの変更をどこへ伝えるか」を設計できます。

また、分析のために名前を置き換えても、別の情報と組み合わせて本人に結び付く場合があります。「氏名を削除したから何にでも使える」とするのではなく、識別可能性や利用条件を扱う知識が必要です。公式範囲に匿名化・仮名化やプライバシー強化技術が含まれる理由は、このようなデータの扱いまで考えるためです。

マーケティング担当者にとっては、施策を成立させる条件が見える

マーケティングの側でも、CDPSEの範囲を知る意味があります。「顧客データを連携したい」という依頼を、何のために、どの項目を、どの期間、どの相手へ渡すかまで具体化できれば、関係者が検討すべき条件がそろいます。

追加データを全て集める案と、必要な項目に絞って実施する案では、分析できることだけでなく、説明、保存、権限管理、委託先確認の負担も変わります。その違いを理解すると、法務やセキュリティを最後の承認者として呼ぶだけでなく、施策を設計する段階から相談できます。

この実務にCDPSE取得は必須ではありません。マーケティング担当者全員へ受験を勧めるより、データ基盤・サービス設計との調整を継続的に担う人の学習候補として考える方が、目的と負担が合います。

経験者が学ぶ追加価値は？自分の仕事を体系へ照らす

「初めてできる仕事」を増やすだけが学習の目的ではない

既にプライバシーに関係する仕事をしている人には、経験を外部の体系と照合する使い方があります。

Rob Oden氏は公開投稿で、ここ数年プライバシーエンジニアリングに取り組んだ後、自分の知識を確かめるためにCDPSEを取得したと説明しています。また、Robloxで作ってきたプライバシーエンジニアリングの仕組みが、資格で重視される原則や実務とよく一致していると分かったことを挙げています。Rob Oden氏の本人投稿

この事例が示すのは、資格取得前から仕事をしていた経験者が、蓄積した知識や取り組みを確認するために受験したということです。取得によって事故が減った、仕事の質が向上したという効果測定ではありません。

経験による判断が既に体系と整合していれば、それを確認すること自体が学習の結果になり得ます。逆に、担当範囲の外に未経験の領域が見つかれば、補う対象を具体化できます。

担当外の領域を、どのように補うか

例えば、同意画面やデータ連携の実装を主に担当してきた人は、画面やAPIの仕様には詳しくても、委託先の契約条件やリスク評価の根拠を扱う機会が少ないかもしれません。CDPSEの範囲では、技術的な設定とともに、委託先管理、影響評価、組織の責任分担を学びます。

反対に、プライバシー方針や社内ルールを作ってきた人は、「利用者の設定を反映する」と書いた内容が、データ基盤、外部サービス、運用手順のどこへ実装されるかを具体化する学習ができます。

学びを仕事へ戻す方法としては、過去に担当したデータ連携案件を一つ選び、公式の4領域に沿って説明し直すことが考えられます。決めた利用目的と責任分担、検討したリスク、データの流れと保存、実装した制御を並べます。自分で説明できる部分と、他部門へ任せたため根拠を知らない部分が分かれれば、次に学ぶ内容や相談相手が見えます。

これは本記事が示す学習の使い方で、CDPSEの公式課題ではありません。試験範囲の広さを、そのまま実務効果と呼ぶのではなく、自分の経験と照合する対象として使う考え方です。

学ぶ意味があっても、認定取得が必要とは限らない

公開されている試験範囲を読み、必要な教材で学ぶだけでも、この整理は始められます。試験・申請・維持の費用をかける理由は、それとは別に考えられます。

認定取得には、外部の試験と経験審査を経たことを示せる意味があります。ただし、その証明を自社の評価や顧客への説明で使う予定がなく、既に必要な知識と成果物を示せるなら、追加の価値は小さい場合もあります。

また、英語や関連実務の経験が大きな障壁になっているなら、まず自社のデータフローや保存・削除の運用を理解し、必要な領域を学ぶ方法もあります。「学習には関心があるが、今は認定までは目指さない」という判断も自然です。

他資格との違いと、日本の企業が育成に使う意味

監査・安全な開発・技術的なプライバシーを分ける

資格	主な対象	会員データ活用の場面で違いを考えると
CDPSE／ISACA	プライバシーをデータ処理・システム・運用へ実装する知識と経験	目的・利用条件と、データの流れ・同意・保存・制御をつなげて考える
CISA／ISACA	IT監査、システムや統制の評価	決めた管理が実際に機能しているか、証拠を基に評価する
CSSLP／ISC2	ソフトウェアの要求・設計・開発・テスト・運用・供給網のセキュリティ	データを扱うソフトウェアを安全に作り、変更・保守していく
CIPT／IAPP	製品・サービスへ技術的なプライバシー保護を組み込む知識	CDPSEと近い領域を扱う。別団体の資格として範囲と条件を比較する

比較は仕事の焦点をつかむための整理です。プライバシーとセキュリティには重なる範囲があり、資格ごとに担当者が完全に分かれるわけではありません。CIPTも技術的なプライバシーを扱うため、CDPSEだけがこの仕事を対象とする資格だとはいえません。CISA公式・CSSLP公式試験範囲・CIPT公式

監査として任せる仕事は「CISAとは？」、開発工程全体のセキュリティを学ぶ意味は「CSSLPとは？」で詳しく説明しています。資格の上下ではなく、現在の担当と補いたい領域で選ぶと、学習の重複も避けやすくなります。

海外資格の価値は、国内人数や知名度だけでは決まらない

ISACAの公式ページには、CDPSE保有者が世界で1万6,000人以上と掲載されています。一方、日本国内の現行保有者数は本記事で確認できていません。世界の人数を国内の普及度や、取得すれば転職に有利という根拠へ置き換えることはできません。

日本で意味を持つかは、自社の仕事との接点によります。複数のシステムや委託先に個人に関するデータが分散し、企画・法務・開発の調整を継続的に行う人には、学習範囲との接点があります。一方、日本の個人情報保護法の特定の論点だけを確認したい場合、CDPSE全体の取得より、その論点の公式資料や専門的な研修の方が目的に近いこともあります。

国内でCDPSE取得前後の仕事の変化を詳しく示す、現行制度に基づく本人資料は確認できていません。日本語で読める2021年の取得記は、試験免除の早期導入制度によるものです。日本で取得した人がいることは分かりますが、現在の試験学習による効果の証拠にはなりません。

そのため企業では、知名度だけで一律に推奨するより、任せたい仕事と学習範囲が合うかを先に考えられます。海外の制度だから無意味でも、国際資格だから自動的に有利でもありません。

育成・配置では、学んだ内容を何へ戻すかを決める

育成対象として考えやすいのは、既に開発・データ・セキュリティ・プライバシーのいずれかに経験があり、担当を広げようとしている人です。例えば、サービス開発でデータ利用の要件を整理する役割を増やす、データ基盤の担当者が法務や委託先と相談する機会を持つ、といった方向です。

学習後の仕事として、自社のデータ連携図、保存・削除の責任分担、設定変更が外部サービスへ届く手順などを説明する機会を用意すると、知識と実務を結びつけやすくなります。管理職は、その説明の根拠と、自分では判断できず他部門へ確認した点を一緒に見ることができます。

認定が示すのは、試験と経験等の基準を満たしたことです。採用・評価では、特定の法制度への深い理解、自社システムへの実装経験、関係者との合意形成、変更後の運用までを別に確かめます。資格者一人を置いて、法務・開発・運用の責任をまとめて代替できるわけではありません。

まとめ：CDPSEは、経験とプライバシー実装の体系を照らし合わせる選択肢

CDPSEは、プライバシー方針を、実際のデータ収集・利用・保存・廃棄と技術的な制御へつなぐ知識・経験を扱う資格です。現在は4領域で、英語の試験と3年以上の関連実務経験が認定の柱になります。取得費用だけでなく、英語、申請、継続学習まで含めて考える必要があります。

経験者にとっての学習価値は、資格者だけにできる仕事が増えることではなく、自分の経験を体系へ照らし、担当外の知識や説明できていない部分を見つけることにあります。企業は、その学びをどの仕事へ戻すかを決めると、受験支援と育成の目的がつながります。

まず範囲を学ぶのか、試験で知識を確かめるのか、経験証明と維持まで含めて認定を持つのか。自分や社員の役割に合わせて、その段階を選べることが大切です。

参考資料

制度・価格の確認日：2026年10月28日。本人談はその人の経験であり、取得者全体の効果を示す調査ではありません。

• ISACA：CDPSE公式案内
• ISACA：CDPSE Exam Content Outline
• ISACA：2026 Exam Candidate Guide（経験要件6頁、言語・問題数・時間7頁、尺度得点22頁、現行範囲41〜43頁）
• ISACA：Get CDPSE Certified
• ISACA：Maintain CDPSE Certification
• ISACA：CDPSE Review Manual
• ISACA：CDPSE Online Review Course
• ISACA：CPE Policy Changes for 2027
• Rob Oden氏：CDPSE取得の本人投稿（2026年10月閲覧時「3か月前」表示。正確な投稿日未確認）
• AICPA & CIMA：Paul Perry氏の職務紹介（2026年9月30日）
• ISACA：CISA
• ISC2：CSSLP Certification Exam Outline
• IAPP：CIPT
• はじめのすすめ：CDPSE取得記（2021年4月20日。早期導入制度の記録として参照）

本記事の文章・表・図解・グラフは、Skill Business Architecture Labが独自に編集・作成しています。引用・紹介する場合は、引用箇所が分かる形で、記事名・サイト名・記事URLをご記載ください。