本コラムは、これから個人情報保護法に取り組む初学者に向けたシリーズの第2回です。テーマは「個人情報とは？」。第1回で全体像を整理したことを踏まえ、今回は個人情報保護法の出発点となる「個人情報」の定義と、それに関連する基本概念を、具体例を交えて解説します。

1. まず押さえるべき3つの基本概念

個人情報保護法には、基本となる概念が3つあります。「個人情報」「個人データ」「保有個人データ」です。個人情報保護法の規定ぶりを理解するにあたっては、この3つの基本概念を正確に理解することが重要です。

なぜなら、個人情報保護法は、ある情報がどの概念に該当するかによって、適用される規律が変わる立て付けになっているからです。3つの基本概念の関係は、次のように入れ子構造になっています。

• 個人情報（最も広い概念）：取得・利用に関する規律が適用される
• 個人データ（個人情報の1類型）：個人情報の規律に加え、保管・管理、第三者提供に関する規律が適用される
• 保有個人データ（個人データの1類型）：上記に加え、公表事項や開示請求等への対応に関する規律が適用される

したがって、対応の第1ステップは、それぞれの情報がどの類型に該当するかを確認することです。

2. 「個人情報」の定義

「個人情報」という言葉は日常でもよく使われますが、日常的な意味と、法律上の定義は必ずしも一致しません。実務でも、ある情報が個人情報に該当するかが論点になることは少なくありません。

法律上、まず前提となるのが「生存する個人に関する情報」であることです。したがって、すでに亡くなった方や法人に関する情報は、個人情報に該当しません。そのうえで、次の①②のいずれかに該当するものが個人情報となります。

① 当該情報に含まれる氏名、生年月日その他の記述等により、特定の個人を識別することができるもの（他の情報と容易に照合でき、それにより特定の個人を識別できることとなるものを含む）

② 個人識別符号が含まれるもの

3. 記述等により特定の個人を識別できるとは

①の意味を、顧客情報データベース（氏名・住所・電話番号・メールアドレスが並ぶもの）を例に見てみましょう。

ここで法律上の「記述等」にあたるのが、この顧客情報データベースのカラムの中では、氏名です。氏名があることで、「これは特定のある1人の人物である佐藤さんの情報だ」と分かります。

ただし、個人情報＝記述等ではありません。個人情報とは「記述等により特定の個人を識別できるもの」です。つまり、氏名だけが個人情報になるのではなく、氏名と結び付いた住所・電話番号・メールアドレスなどの情報すべてが個人情報になります。これが「記述等により特定の個人を識別できる」という言葉の意味です。

4. 「容易照合性」の考え方

①の定義には、括弧書きで「他の情報と容易に照合でき、それにより特定の個人を識別できることとなるものを含む」とあります。これが容易照合性です。

購入履歴データベース（IDと購入履歴のみ）を例にします。これ単体では、IDも購入履歴も誰のものか分かりません。しかし、購入履歴データベースと顧客情報データベースに同じIDが振られていれば、両者を照合でき、「佐藤さんはアイロンを1個購入した」と分かります。

このようにIDで照合できる状態であれば、購入履歴の情報も個人情報に該当します。つまり、ここでもIDと結び付いたすべての情報が個人情報になるわけです。これが容易照合性の考え方です。

5. 「個人識別符号」とは

②の個人識別符号とは、その情報単体でも特定の個人を識別できるものとして指定された番号・記号・符号などです。何が該当するかは、政令・規則で限定列挙されています。生存する個人に関する情報で、かつ個人識別符号に該当すれば、その情報は当然に個人情報となります。

個人識別符号には、大きく2つの類型があります。

1つ目は、身体的特徴を認証に使える形でデータ化した符号です。たとえば、DNAの塩基配列、容貌、虹彩の模様、声質、歩行の態様、静脈の形状、指紋・掌紋などを認証用に変換したデータ（顔認識データ、指紋認識データ等）が指定されています。

2つ目は、対象者ごとに異なるように個別に付された符号です。たとえば、パスポート番号、被保険者証の記号・番号、基礎年金番号、運転免許番号、住民票コード、マイナンバーなどが指定されています。これらに共通するのは、すべて法令に基づき公的に付番されている番号である点です。

6. 「クレジットカード番号」は個人情報か

法令に基づき付番されていない番号、たとえばクレジットカード番号は、個人識別符号には該当しません。

では、クレジットカード番号は個人情報ではないのでしょうか。①の「記述等により特定の個人を識別できるもの」に該当すれば、クレジットカード番号も個人情報になりえます。

たとえば、データベースの中で氏名と紐づいて保管されている場合や、別のデータベースとIDで結び付いていて、そちらに氏名がある場合には、クレジットカード番号も個人情報に該当することになります。

7. 「個人データ」とは

個人データは、個人情報の中の1類型であり、「個人情報データベース等を構成する個人情報」と定義されます。個人情報データベース等とは、「個人情報を容易に検索できるように体系的に構成したもの」です。

顧客情報データベースはその典型例です。横に項目を並べ、縦に個人ごとの情報を並べて、特定の人の情報を簡単に検索できるよう構成されているためです。ほかにも、メールソフトのアドレス帳や、名刺情報を表計算ソフトで整理したものも該当します。また、電子情報に限らず紙媒体でも該当することがあり、登録カードを氏名の50音順に整理しインデックスを付してファイルにしている場合も該当します。

他方、該当しない例もあります。従業者が独自の分類方法で名刺を整理していて他人には検索できない場合は、容易に検索できるとはいえず該当しません。

個人データに該当すると、データ内容の正確性確保・消去の努力義務、安全管理措置、従業員・委託先の監督義務、一定の漏えい等についての報告義務・本人への通知義務などが適用されます。第三者提供には原則として本人同意が必要で、第三者から受領する際には記録・確認義務が課されます。個人データに該当する場合、これらに加えて個人情報の義務も重ねて適用されます。

8. 「保有個人データ」とは

保有個人データは、個人データの中の1類型です。個人データのうち、個人情報取扱事業者が本人またはその代理人から請求される、開示・内容の訂正等・利用停止・消去・第三者提供の停止のすべてに応じる権限を有するものと定義されます。

保有個人データに該当すると、利用目的などの一定事項を公表する義務や、開示等の請求に応じる義務が課されます。保有個人データは個人データでも個人情報でもあるため、それらの義務もすべて適用されます。

9. 「要配慮個人情報」とは

最後に、特殊な機微情報の類型である要配慮個人情報について説明します。これは、取扱いによって差別や偏見を生むおそれがある情報で、法令に限定列挙されています。具体的には、人種、信条、社会的身分、病歴、犯罪の経歴、刑事事件に関する手続、犯罪被害者である事実、障害があること、医師等による健康診断の結果などです。

ガイドラインでは、要配慮個人情報を推測させるだけの「推知情報」は該当しないとの考え方が示されています。たとえば、がんや統合失調症を患っていることは、病歴として要配慮個人情報に該当します。一方、血圧が高いという情報は、病気を推測させるにとどまり、それ自体が病歴ではないため該当しません。信条との関係でも、イスラム教徒であることは該当しますが、イスラム教に関する書籍を購入したことは、推認させる情報にすぎず該当しません。

要配慮個人情報を取得する際は、原則として本人の同意が必要です。同意の取得方法について、ガイドラインは、同意文言をチェックさせることまでは不要であり、本人から任意で直接取得した場合は同意があったと判断されるとしています。書面での同意取得まで要求されてはいませんが、同意を得たことを証明する必要があるため、可能であれば書面で取得した方が安全です。

次回は、「個人情報の取得ルール」について解説します。