05 コンプライアンス, 法改正対応, 個人情報保護法, その他

はじめに

改正個人情報保護法がスタートし、新体制の下での情報の取扱いに苦労されている法務担当者の方もいらっしゃるかと思います。改正法では、個人情報の定義明確化や要配慮個人情報や匿名加工情報の概念導入により情報の概念が多様化しました。今回は、改正法下での情報の定義と情報ごとにどのような規律がなされているかの概略をみていきます。

情報の定義と規定の適用関係

個人情報保護法は、2条で情報について定義しています。個人情報（1項）、個人識別符号（2項）、要配慮個人情報（3項）、個人データ（6項）、保有個人データ（7項）、匿名加工情報(9項）です。以下、それぞれどのようなものなのか、情報ごとにどのような規律を受けるのかをみていきます。個人情報保護法の他、政令、規則、個人情報保護法ガイドライン通則編、第三者提供記録編、外国第三者提供編、匿名加工情報編で規律が定められています。以下、ガイドライン通則編については「GL」と記載します。

個人情報（法2条1項、GL5頁）

「個人情報」（法2条1項）とは、生存する個人に関する情報であって、法2条1項各号に該当するものを言います。個人情報は、個人識別符号、要配慮個人情報、個人データ、保有個人データを含む概念です。
●情報の内容について
文字情報だけでなく、映像や音声による情報も含まれます。また、公にされている情報か、暗号化等によって秘匿化されている情報かは問いません。氏名、住所、性別、生年月日、顔画像等の個人を識別する情報だけでなく、個人の身体、財産、職種、肩書きなどの属性に関する事実、判断、評価を表す全ての情報を指します。
●「生存する」個人に関する情報
基本的には生存している人物の情報に限られます。ただし、死者に関する情報であっても、遺族等の生存する個人に関する情報である場合には「生存する」個人に関する情報にあたります。
●「個人」に関する情報
「個人」には外国人も含まれますが、法人その他の団体は含まれません。そのため、団体そのものに関する情報は「個人に関する情報」には該当しません。ただし、役員、従業員に関する情報は「個人」に関する情報にあたるので注意が必要です。
●特定個人を識別できること（法2条1号）
個人情報に該当するには、情報に含まれる氏名・生年月日その他の記述等によって特定の個人を識別できる必要があります。
情報単体で特定個人を識別できなくとも、他の情報と容易に照合することができ、それにより特定個人を識別することができる場合も含まれます。照合の容易性の有無は個別判断になりますが、基本的には通常業務の一般的にな方法で他の情報と容易に照合できる状態を言います。例えば他の事業者への紹介を要する場合は含まれません。
●個人識別符号（法2条2号）
今回の改正で、個人識別符号についての規定が加えられ、個人情報の定義が明確化されました。個人識別符号に該当すれば、2条1項の個人情報に該当し、個人情報保護法上の規律を受けます。
●個人情報に関する規律
利用目的の特定（法15条）、利用目的による制限（16条）、適正な取得（17条）、取得に際しての利用目的の通知（18条）、苦情の処理（35条）の規律を受けます。なお、後述の個人データ、保有個人データも個人情報のため、個人情報一般の規律をうけます。

個人識別符号（法2条2項、GL6頁）

個人識別符号とは、法2条2項各号のいずれかに該当する文字、番号、記号その他の符号で、政令で定めるものをいいます（法2条2項柱書）。つまり、特定個人を識別できる文字、記号や番号を指します。例えば、マイナンバーなどが個人識別符号に該当します。
●身体的特徴をに関するもの（法2条2項1号、政令1条1号、規則2条）
電子計算機の用に供するために、身体的特徴を文字、数値、記号化したもので個人を特定できるものです。例えば、ゲノム情報や、本人確認に使う骨格データ、虹彩の模様データ、声帯の振動データ等が挙げられます。
●役務の利用、商品の購入等に関して割り当てられる符号（法2条2項2号）
政令1条2号以下で詳細に定められています。具体的には、旅券番号（2号）、基礎年金番号（3号）、道路交通法上の免許証番号（4号）、住民票コード（5号）、マイナンバー（6号）、被保険者証の記号・番号・保険者番号（7号、規則3条）、そのほか規則で定めるもの（8号、規則4条）です。

個人情報データベース等と個人データ、保有個人データ

個人情報がデータベース化され、個人データとして扱われるようになると、個人情報保護法上の規律も厳しくなります。そのため、個人情報が、「個人情報データベース等」として整理され、「個人データ」として扱われるのはどのような場合かをしっかりと把握しておきましょう。
●個人情報データベース等（法2条4項、GL16貢）
個人情報データベース等に該当する場合とは、①情報の集合物であり法2条4項各号に該当すること、②権利利益を害するおそれが少ないため、政令で除外されているものでないこと（法2条4項括弧書）に2点を満たした場合です。
・法2条4項各号該当性
個人情報を整理して、検索性が高められた場合に「個人情報データベース等」として扱われます。電子計算機を用いる場合（1号）、その他政令で定める場合（2号、政令3条2項）があります。
・除外される場合（2条4項柱書括弧書、政令3条1項）
2条4項柱書括弧書では「利用方法からみて個人の権利利益を害するものとして政令で定めるものを除く。」とされています。これを受けて政令3条1項は、①不特定かつ多数の者に販売することを目的として発行されたものであって、かつ、発行が法又は法に基づく命令の規定に違反して行われてたものでないこと、②不特定多数の者により随時購入することができ、又はできたものであること、③生存する個人に関する他の情報を加えることなくその本来の用途に供しているものであること、のいずれにも該当しなければ個人情報データベース等から除外されると規定しまいます。

●個人データ（法2条6項、GL18貢）
・個人データとは
個人データとは個人情報データベース等を構成する個人情報をいいます（法2条6項）。
・個人データに関する規律
個人情報がデータベース化され、個人データとして扱われるようになると、個人情報保護法上の規律も厳しくなります。法19条～26条の規律を受けます。なお、個人データも個人情報のため、15～18条、35条の規律も受けます。
●保有個人データ（2条7項、GL19貢）
・保有個人データとは
保有個人データは、個人情報取扱事業者が、本人又はその代理人から請求される開示、内容の訂正、追加又は削除、利用の停止、消去及び第三者への提供の停止の全て（「開示等」）に応じることができる権限を有する個人データをいいます（法2条7項）。
・除外される場合
存否が明らかにされることにより公益その他の利益が害されるものとして政令で定めるもの（法2条7項柱書、政令4条）、6ヶ月以内に消去することとなる情報（法2条7項、政令5条）は、保有個人データには含まれません。
・保有個人データに関する規律
開示等請求に関する規律を受けます（法27条～34条）。また、個人情報であり、個人データでもあるので、15条～26条、35条の規律も受けます。

要配慮情報（法2条3項、GL11頁）

要配慮個人情報は、差別や偏見を等を生じさせるおそれがあるような情報であるため、法律上も特別な扱いが求められます。例えば、オプトアウト手続の利用が認められないなどです（23条2項柱書）
法2条3項では以下の情報が要配慮個人情報として挙げられています。
・「人種」に関するもの
・「信条」に関するもの
・「社会的身分」に関するもの
・「病歴」に関するもの
・「犯罪の経歴」に関するもの
・「犯罪により害を被った事実」
・その他政令で定める記述等が含まれる個人情報（政令2条）
法2条3項の委任を受けて、政令2条が要配慮個人情報について定めています。具体的には、障害に関する事実（政令2条1号、規則5条、GL15貢）、健康診断その他の検査結果（政令2条2号、GL15貢）、医師による指導・診療・調剤が行われた事実（政令2条3号）、逮捕、捜索、差押さえ、勾留、公訴提起等の刑事事件に関する手続が行われた事実（政令2条4号、GL15貢）、保護処分等の少年に関する手続が行われた事実（政令2条5号、GL15貢）は要配慮個人情報として扱われます。

匿名加工情報（法2条9項）

・匿名加工情報とは
匿名加工情報は個人情報に削除・置き換え等の加工を施すことで、個人の識別不能で、かつ個人情報の復元不能状態にしたものをいいます。匿名加工情報は個人情報とことなり、第三者提供時の同意が不要です（23条1項）。そのため、情報活用によるビジネスチャンスの拡大が期待されます。
・匿名加工情報に関する規律
匿名加工情報であっても、匿名加工情報の作成等（36条）、匿名加工情報の提供（37条）、識別行為の禁止（38条）、安全管理措置等（39条）の規律をうけます。ガイドラインは、通則編とは別に「個人情報の保護に関する法律についてのガイドライン（匿名加工情報編）」が定められています。

個人情報の保護に関する法律（全面施行版、PDF）
個人情報の保護に関する法律施行令（PDF)
個人情報の保護に関する法律施行規則（平成28年10月５日個人情報保護委員会規則第３号）PDF
個人情報保護法ガイドライン通則編（PDF）
個人情報の保護に関する法律についてのガイドライン（匿名加工情報編）

メルマガ会員登録