個人情報保護｜基礎を学ぶ

個人情報保護は、事例を示して「この扱いは適切か」を判断させる問題として出ます。何が個人情報にあたるかの線引きと、加工した情報の呼び分けを整理しておきましょう。

何が個人情報にあたるか

個人情報保護法でいう個人情報とは、生存する個人に関する情報で、特定の個人を識別できるものです。単体では誰か分からなくても、社内の別の名簿と照らせば本人が分かるなら個人情報に含まれます。防犯カメラに写った本人と分かる顔画像も個人情報です。

「メールアドレスは個人情報ではない」という選択肢に注意してください。氏名と所属が読み取れる形式なら特定の個人を識別できるため、個人情報になります。

用語	意味	扱いの要点
個人情報	特定の個人を識別できる情報	利用目的の特定と通知または公表が必要
個人データ	検索できるように整理された個人情報	安全管理措置、第三者提供の制限がかかる
保有個人データ	開示や訂正、削除に応じる権限を持つ個人データ	本人からの開示請求などに応じる義務
要配慮個人情報	人種、信条、社会的身分、病歴、犯罪の経歴、犯罪被害の事実など	取得に原則として本人の同意が必要
仮名加工情報	他の情報と照合しない限り個人を識別できないように加工したもの	主に社内での分析に使う。第三者提供は原則できない
匿名加工情報	個人を識別できず、元に戻すこともできないように加工したもの	定められた公表などを行えば、本人の同意なく第三者提供できる

仮名加工情報と匿名加工情報の違いは頻出です。 元に戻せる余地を残し社内利用にとどめるのが仮名加工情報、復元できないところまで加工し外部に提供できるのが匿名加工情報、と対比で覚えてください。匿名加工情報を受け取った側が、元の個人を特定しようとして他の情報と照合する行為は禁止されています。

要配慮個人情報は、取得の段階で原則として本人の同意が要る点が特徴です。通常の個人情報は利用目的を公表していれば同意なしに取得できますが、要配慮個人情報は同意が前提になります。

事業者は利用目的をできる限り特定し、本人に通知するか公表しなければなりません。示した目的の範囲を超えて使う場合は、原則として本人の同意が必要です。「アンケートで集めた住所を、断りなく別事業のダイレクトメールに使う」は目的外利用にあたります。

個人データを第三者に渡すときも原則として本人の同意が必要です。ただし、法令に基づく場合、人の生命や身体、財産の保護に必要で同意を得ることが困難な場合、公衆衛生の向上や児童の健全な育成に特に必要な場合、国や地方公共団体の事務に協力する場合は同意なしで提供できます。

また、業務の委託先に渡す場合、共同利用する場合、合併などで事業を承継する場合は、法律上の第三者提供にはあたりません。 ただし委託元には委託先を監督する責任が残るため、「委託したので責任はない」は誤りです。

オプトアウトとは、本人の求めがあれば提供を停止することなどを定めて個人情報保護委員会に届け出ることで、あらかじめの同意なしに第三者提供を行える仕組みです。要配慮個人情報や、不正な手段で取得した個人データはオプトアウトの対象にできません。

マイナンバー法（正式名称は行政手続における特定の個人を識別するための番号の利用等に関する法律）は、利用範囲を社会保障、税、災害対策の3分野に限定しています。本人の同意があっても、この範囲を超えて利用することはできません。 社員番号の代わりに使う運用は認められません。

プライバシーマーク（Pマーク）は、個人情報を適切に扱う体制が整っていると認められた事業者に付与される制度で、JIS Q 15001に基づいて審査されます。Pマークは個人情報の保護が対象、ISMS認証は情報セキュリティ全般が対象という守備範囲の違いで区別してください。

GDPR（EU一般データ保護規則）は、EUを含む欧州経済領域の個人データを保護する規則です。域外へのデータ移転に制限があり、EU域内の個人のデータを扱っていれば日本企業でも適用対象になり得ます。「日本企業には関係しない」という選択肢は誤りです。