個人情報の定義 | 企業の個人情報保護法への取組と事例：2018年版（２）

イントロダクション

個人情報保護法への取組と事例をテーマにしたお話しの２回目になります。
前回は個人情報保護の経緯と背景として、2003年の個人情報保護法の成立に至るまでの情勢と個人情報が狙われる背景の話をしてきました。
今回は個人情報保護の取組に入るにあたって、最も根本的な部分である「個人情報」とは何か、をお話ししていきたいと思います。

個人情報保護と一口に言いますが、そもそも何が個人情報なのかを明確に定義付けせずに保護を語ることはできません。
「だいたいこういうもの」ということはわかっていても、どこまでが対象なのかがわかっていないと明確な対策は行えません。

今回は根拠法である「個人情報の保護に関する法律（以下個人情報保護法）」と個人情報保護委員会が発表している「個人情報の保護に関する法律についてのガイドライン（通則編）」に基づいて、できるだけ平素な言葉と具体例に置き換えながら、法律が定義している「個人情報」について解説していきたいと思います。

個人情報保護法は法律なので、表現している言葉も難しいし概念的な表現なので理解するのが難しいです。
そこで個人情報委員会がなるべく噛み砕いたガイドラインを作成しているのですが、これもまた文字の羅列が続いてなかなか難解です。
「個人情報保護士」という資格が存在するくらいですから、本格的に全部を理解しようとするとかなりの勉強量が必要になります。

それをあまり簡単すぎる説明にすると言葉足らずになるので、多少まどろっこしいかもしれませんが、なるべく詳細までお話ししていこうと思いますので、お付き合い願います。

個人情報の定義

個人情報とは

個人情報保護法が定義している「個人情報」は以下の２つです。

(1)生存する個人に関する情報で、その情報から個人を特定することができるもの
(2)個人識別符号が含まれるもの

(1)の具体的な例を列挙すると以下のようなものになります。

意外と思われるかもしれませんが、公にされている情報も「個人情報」です。
この後幾つもの言葉が出てきますが、「個人情報」全てが厳密な管理や罰則の対象となるわけではありません。
あくまで「個人を特定することのできるもの」が全て個人情報である、ということです。

留意点として、死亡している人の情報は遺族等生存する個人に関する情報である場合は、生存する個人の情報に含まれます。
法人その他団体の情報は個人情報には含まれませんが、役員や従業員の情報は個人情報に含まれます。
また「個人」は日本国籍の人だけでなく、外国籍の人も含まれます。

(2)の具体的な例を列挙すると以下のようなものになります。

「個人識別符号」については平成29年施行の改正から追加された項目です。
生体認証が普及し生体情報が個人を特定するものになったことが反映されています。
またマイナンバーなど個人を特定できる公的な番号も「個人情報」として定義されることになりました。

どちらも個人に紐づくデータであることから、強化されたポイントがシステム利用を想定したものであることが伺えます。

要配慮個人情報

個人情報の中でオプトアウトによる第三者提供が認めず、本人の同意が必ず必要な情報を「要配慮個人情報」と呼び、これも平成29年施行の改正で加わった項目です。
オプトアウトについては別途詳細を説明しますが、簡単に言うと「この情報は第三者提供しますよ」と明示して、個人情報委員会に届け出た場合、個人情報を本人の同意無しに第三者に提供できる仕組みのことです。

具体的には人種、信条、病歴、犯罪歴、逮捕・補導歴、障害、健康診断の結果などが要配慮個人情報です。

匿名加工情報

特定の個人を識別することができないように個人情報を加工して、個人情報を復元することができないようにしたものを「匿名加工情報」と呼びます。
ビッグデータへの個人情報の利用を想定して、匿名化した場合の取り扱いを通常の個人情報と分けることを目的に設定されている項目です。

個人情報データベースと個人データ、保有個人データ

個人情報を単純に所持しているだけという状態と、明確な目的を持って整備・保管する場合でその呼び名が変わってきます。

名前の五十音順だったり特定の符号（居住地別、年齢別、性別別等）で検索しやすいように索引が付けられたり、コンピューターでの検索が可能なように整備された個人情報を含むデータを「個人情報データベース」と呼びます。

個人情報データベースには以下のようなものが該当します。

デジタルなデータだけではなく、紙データも検索のために整備されているものはデータベースとして取り扱います。
尚、不特定多数の人が購入可能で、且つ法令に違反していないものは個人情報データベースには該当しません。
つまりハローページなどの電話帳や住宅地図、官公庁の職員録など書店などで購入できるものは、検索しやすいように整備されていたとしても個人情報データベースに該当しません。
切り分けられるポイントは「個人の権利や利益を損なう恐れが少ない」ことです。
そもそも一般に流通しているものなので、誰かが杜撰な保管方法をして内容を漏えいさせたとしても、漏えい自体が原因で危険に晒されるものではありません。
もちろん元の情報と異なる目的で後から別の情報を独自に付け加えた場合、それは個人情報データベースと呼べるものになる可能性があります。

個人情報データベースの要素である個人情報が「個人データ」です。
個人情報データベースから出力されたものは個人データに含まれるため、以下のものも個人データになります。

逆に「個人情報データベース」に現時点で含まれていないものは「個人データ」になりません。
具体的には個人情報データベースにこれから入力する、紙帳票などに記載された個人情報などがこれにあたります。
整備、整理されていない個人情報は、法律上「個人データ」とは呼びません。

さらにこの個人データの中で、個人情報取扱業者が本人又は代理人からの請求により開示、削除、利用停止、第三者への提供の停止に応じることができる個人データを「保有個人データ」と呼びます。
別項でお話ししますが、個人データは本人の開示等の請求にこたえる必要があります。
これらを行わなければいけない「保有していることを公表できる個人データ」＝保有個人データなのです。

「公表できる個人データ」があるということは「公表できない個人データ」もあります。
具体的には以下のような個人データです。

尚、保有期間が６ヶ月以内で個人データを消去する場合は、保有個人データにはなりません。

取扱や罰則に違い＝管理レベルを分けられる

ここまでの説明を図にすると以下のような感じです。

整理せずに個別の形で保持している「個人情報」と、整理された「個人情報データベース」の形で保持している「個人データ」では法律上の取り扱いが変わってきます。
また同じ個人情報でも「匿名加工情報」になったものや「要配慮個人情報」である場合なども対応が異なります。

「個人情報」を保護しなければいけないのは確かなのですが、その内容や保有形態によって管理レベルなどを変える必要がある、もしくは変える余地があるのです。

全ての個人情報をオフラインで施錠されたセキュリティゾーンでしか使用・閲覧ができないガチガチの管理ができれば安全かもしれませんが、それでは実業務に支障をきたすこともあります。
しかし逆にそれくらいしなければいけない情報もあります。

全てを一緒くたに管理にしないことで管理の手間は係るかもしれませんが、レベル毎に適正な管理ができていれば個人情報を活用することもできます。
個人情報保護法は何でもかんでも駄目というために存在しているわけではなく、正しい手順で個人情報を利用するためのガイドラインでもあります。

まずは法律が定める「個人情報」に関する文言の区分を理解しておくようにしましょう。

個人情報保護関連の記事を纏めました。