どこまでが「個人情報」の範囲？ 知っておきたい定義とルール

個人情報の取り扱いに当たっては、個人情報保護法のルールを順守しなければなりません。また、個人情報の中でも「要配慮個人情報」については、取り扱いについてより厳格なルールが定められています。

まずは個人情報と要配慮個人情報について、定義と該当する情報の具体例を確認しておきましょう。

1. （1）個人情報の定義・具体例

   「個人情報」とは、生存する個人に関する情報であって、以下のいずれかに該当するものをいいます（個人情報保護法第2条第1項）。

   ① 氏名、生年月日その他の記述等により、特定の個人を識別することができるもの（他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなるものを含む）
   （例）氏名、生年月日、住所、顔写真、メールアドレスなどのうち、単体または他の情報との組み合わせによって特定の個人を識別できるもの
   
   ② 個人識別符号が含まれるもの
   （例）生体認証情報、旅券番号、基礎年金番号、免許証番号、住民票コード、個人番号（マイナンバー）、健康保険証の被保険者記号・番号など

2. （2）要配慮個人情報とは

   「要配慮個人情報」とは、個人情報のうち、以下のいずれかの記述等が含まれるものをいいます（個人情報保護法第2条第3項、個人情報保護法施行令第2条各号）。

   • 人種
   • 信条
   • 社会的身分
   • 病歴
   • 犯罪の経歴
   • 犯罪により害を被った事実
   • 身体障害、知的障害、精神障害等があること
   • 健康診断等の結果
   • 診療、調剤に関する情報
   • 刑事事件に関する手続が行われたこと（犯罪の経歴を除く）
   • 少年の保護事件に関する手続が行われたこと
   
   
   

   要配慮個人情報は、人権保護の観点から慎重な取り扱いが求められるため、個人情報保護法において特別な規制が設けられています（後述）。

個人情報を含む情報の集合物であって、電子計算機等によって検索できるように体系的に構成したものを「個人情報データベース等」といいます（個人情報保護法第16条第1項）。
また、個人情報データベース等を事業の用に供している者を「個人情報取扱事業者」といいます（同条第2項）。

個人情報取扱事業者は、個人情報の取り扱いに当たり、個人情報保護法に定められている以下のルールを順守しなければなりません。

1. （1）個人情報の利用目的

   個人情報取扱事業者が個人情報を取り扱うに当たっては、その利用目的をできる限り特定しなければなりません（個人情報保護法第17条第1項）。
   
   利用目的を変更するとしても、変更前の利用目的と合理的関連性を有する範囲内に限定する必要があります（同条第2項）。
   
   また、個人情報取扱事業者は原則として、あらかじめ本人の同意を得ることなく、利用目的の達成に必要な範囲内を超えて個人情報を取り扱ってはなりません（同法第18条第1項）。
   
   さらに、個人情報取扱事業者が個人情報を取得した場合は原則として、あらかじめ利用目的を公表している場合を除き、速やかにその利用目的を本人に通知し、または公表しなければなりません（同法第21条第1項）。
   
   個人情報の利用目的を変更した場合も、本人への通知または公表が必要とされています（同条第3項）。

2. （2）個人情報の利用・取得の方法

   個人情報取扱事業者は、違法または不当な行為を助長し、または誘発するおそれがある方法により個人情報を利用してはなりません（個人情報保護法第19条）。
   
   また個人情報取扱事業者は、「偽り」やその他「不正の手段」により個人情報を取得してはならないものとされています（同法第20条第1項）。
   さらに、要配慮個人情報を取得する際には、原則として本人の事前同意を得る必要があります（同条第2項）。

3. （3）個人データの安全管理措置

   個人情報データベース等を構成する個人情報を「個人データ」といいます（個人情報保護法第16条第3項）。
   
   個人情報取扱事業者は、自ら取り扱う個人データの漏えい・滅失・毀損の防止、その他の個人データの安全管理のために必要な措置を講じなければなりません（同法第23条）。

4. （4）個人データを取り扱う従業者・委託先の監督

   個人情報取扱事業者は、従業者に個人データを取り扱わせるに当たっては、当該個人データの安全管理が図られるように、当該従業者に対して必要かつ適切な監督を行わなければなりません（個人情報保護法第24条）。
   
   また、個人データの取り扱いの全部または一部を委託する際にも、委託先に対する監督が義務付けられています（同法第25条）。

5. （5）個人データの漏えい等の報告・通知

   個人情報取扱事業者は、自ら取り扱う個人データについて、以下のいずれかに該当する漏えい、滅失または毀損（＝漏えい等）が発生し、または発生したおそれがある場合には、当該事態が生じた旨を個人情報保護委員会に報告しなければなりません（個人情報保護法第26条第1項、同法施行規則第7条）。

   • ① 要配慮個人情報が含まれる個人データの漏えい等
   • ② 不正利用によって財産的被害が生じるおそれがある個人データの漏えい等
   • ③ 不正の目的をもって行われたおそれがある、当該個人情報取扱事業者に対する行為による個人データの漏えい等
   • ④ 個人データに係る本人の数が1000人を超える漏えい等
   
   
   

   また、上記のいずれかに該当する漏えい等については、原則として本人に対する通知も義務付けられています（個人情報保護法第26条第2項）。

6. （6）個人データの第三者提供

   個人情報取扱事業者は原則として、あらかじめ本人の同意を得ることなく、個人データを第三者に提供してはなりません（個人情報保護法第27条第1項）。
   
   なお、通常の個人データについては「オプトアウト方式（※）」による第三者提供が可能とされています（同条第2項本文）。
   ※オプトアウト方式：本人による提供停止の求めがない限り、個人データの第三者提供を行い、提供停止の求めを受けたら第三者提供を停止する方式
   
   ただし、要配慮個人情報を含む個人データについては、オプトアウト方式による第三者提供は認められず、本人の事前同意を取得しなければなりません（同項但し書き）。
   
   個人情報取扱事業者が個人データを第三者に提供したときは、提供の年月日や相手方に関する事項を記録し、一定期間保存する必要があります（同法第29条）。
   
   また、個人情報取扱事業者が第三者から個人データの提供を受ける際には、相手方の情報や個人データ取得の経緯を確認し、その記録を作成して保存しなければなりません（同法第30条）。

7. （7）保有個人データに関する本人の権利

   個人情報取扱事業者は、自ら保有する個人データ（＝保有個人データ）に関して、事業者情報・利用目的・開示請求等の手続などの事項を本人の知り得る状態に置かなければなりません（個人情報保護法第32条第1項）。
   
   また、本人から保有個人データの利用目的の通知を求められたときは、原則として、個人情報取扱事業者は遅滞なく通知しなければなりません（同条第2項）。
   
   本人は、個人情報取扱事業者に対し、自分が識別される保有個人データにつき以下の請求を行うことができます。個人情報取扱事業者は、個人情報保護法の規定に従い、本人によるこれらの請求に対応しなければなりません。

   • 開示請求（同法第33条）
   • 訂正、追加、削除請求（同法第34条）
   • 利用の停止、消去請求（同法第35条）

個人情報取扱事業者が個人情報保護法に違反すると、個人情報保護委員会から是正勧告を受けることがあります（個人情報保護法第148条第1項）。

是正勧告に従わない場合は、法的な義務を伴う措置命令を受けるおそれがあります（同条第2項）。措置命令を受けた場合は、その事実が公表の対象となります（同条第4項）。

さらに、個人情報保護委員会の措置命令に違反した者は「1年以下の拘禁刑または100万円以下の罰金」に処されます（同法第178条）。法人に対しても、両罰規定によって「1億円以下の罰金」が科されます（同法第184条第1項第1号）。

企業が個人情報保護法を守るためには、以下のような対策が効果的です。

自社にフィットする形でこれらの対策を行うためには、個人情報保護法に精通した弁護士のアドバイスを受けることをおすすめします。情報セキュリティ対策を強化したい企業は、一度弁護士へご相談ください。

特定の個人の識別につながる情報は「個人情報」に当たります。個人情報をデータベース上で管理する企業は、個人情報保護法の規定を順守しなければなりません。

個人情報保護法を適切に順守するためには、同法に精通した弁護士のアドバイスが役立ちます。ベリーベスト法律事務所 大阪オフィスでは、個人情報保護法に関する企業のご相談を随時受け付けておりますので、情報セキュリティを強化したい企業はお気軽にご相談ください。