個人情報保護法を勉強しよう｜個人情報の定義

今回は、個人情報保護法を勉強しようということで、個人情報の定義について見てみたいと思います。

ではさっそく。なお、引用部分の太字、下線、改行などは管理人によるものです。

個人情報の定義（法2条1項）

個人情報の定義は、法2条1項に定められており、以下の3要件になります。

• 生存する（生存者性）
• 個人に関する情報であって（個人関連性）
• 特定の個人を識別することができるもの（個人識別性）

条文も確認してみます。

▽法2条1項

（定義）
第二条　この法律において「個人情報」とは、生存する個人に関する情報であって、次の各号のいずれかに該当するものをいう。
一・二　（略）

「次の各号のいずれかに該当するもの」の部分が③の個人識別性であり、続く1号と2号で、特定の個人を識別できるパターンが列挙されています。

ここの説明が無味乾燥なので最初からやる気をなくしてしまいがちなのですが、個人識別性が最も重要な部分（中核）といえます。

以下、①～③を順に見てみます。

個人に関する情報（個人関連性）

まず大前提として、個人に関する情報であること（個人関連性）、です。

個人に関する情報とは、個人の属性に関する全ての情報をいい、極めて広い範囲が該当します。

情報の存在形式に限定はなく、文字以外に映像、音声、動作等も含まれ、また事実を示す情報（事実情報）だけではなく、評価を示す情報（ex. 人事考課のような評価情報）も含まれます。

公開・非公開も問いませんし、情報が真実か否かも問いません。

団体情報

ではいったい何が除かれるのか？という気もしますが、法人その他の団体の情報（団体情報）は除かれます。例えば、法人の本店所在地や、法人の財務情報などです。

ただし、ここで除かれる団体情報は団体そのもの・・・・に関する情報であり、団体に関わる個人の情報は、当然、「個人に関する情報」に含まれます（ex.役員や従業員や取引先の個人の情報）

統計情報

また、統計情報（複数人の情報から共通要素に係る項目を抽出して同じ分類ごとに集計して得られる情報。ガイドラインQ&A1-7参照）も、「個人に関する情報」に該当しません（通則ガイドライン2-8参照）。

▽通則ガイドライン2-8（※「個人関連情報」の解説部分の抜粋）

　また、統計情報は、特定の個人との対応関係が排斥されている限りにおいては、「個人に関する情報」に該当するものではないため、…（略）…

生存者情報（生存者性）

次に、個人とは、生存する個人に限られます（生存者性）。

死者に関する情報や、架空の人物（実在しない個人）に関する情報は、ここでいう個人情報に該当しません。

ただし、死者に関する情報は、生存する遺族等についての個人情報に該当する場合があります。

▽ガイドラインQ&A 1-21

　死者の情報は、個人情報保護法の保護の対象になりますか。

　個人情報保護法は、「個人情報」を生存する個人に関する情報に限っており、死者に関する情報については保護の対象とはなりません。
　ただし、死者に関する情報が、同時に生存する遺族などに関する情報である場合（例：死者の家族関係に関する情報は、死者に関する情報であると同時に、生存する遺族に関する情報である場合があります。）には、その遺族などに関する「個人情報」となります。
　なお、生存する個人と死者に関する情報を一体的に管理しているような場合において、事業及び情報の性質等を踏まえて、死者の情報についても漏えい等しないように適切に管理することは、望ましい取組と考えます。

特定の個人を識別することができるもの（個人識別性）

3つめは、特定の個人を識別することができるものであること、です（個人識別性）。

「識別することができる」かどうかの判断基準は、一般人を基準とします。

▽ガイドラインQ&A1-1

「特定の個人を識別することができる」とは、どのような意味ですか。

「特定の個人を識別することができる」とは、社会通念上、一般人の判断力や理解力をもって、生存する具体的な人物と情報との間に同一性を認めるに至ることができることをいいます。

この個人識別性が3要件のなかで最も重要（中核）であり、①記述等による識別性、②照合容易性による識別性、③個人識別符号による識別性という、3種類のパターンがあります。

①記述等による識別性（1号）

記述等による識別性は、その情報に含まれる氏名、生年月日その他の記述等により、特定の個人を識別できるものであるということです。

ここで注意すべきなのは、その特定に役立った部分だけではなく、その情報を含む全体が個人情報になるという点です。

例えば、名刺を例にとると、名刺には、所属する会社名、部署名、役職、氏名、電話番号、メールアドレス等のいろんな情報が含まれますが、氏名と部署名だけで特定の個人を識別できる（そして、電話番号だけでは特定の個人を識別できない）としても、電話番号等も含めて、名刺に記載されている情報全体が、個人に関する情報として「個人情報」に該当することになります。

条文も確認してみます（1号）。

略しながら読むと、「個人情報とは、生存する個人に関する情報であって、当該情報に含まれる・・・・記述等により特定の個人を識別することができるもの」と書いていますので、特定に至らしめる情報を含めて、その情報の全体が、個人に関する情報（前述のように、個人の属性に関する全ての情報）として「個人情報」となるわけです。

▽法2条1項1号

（定義）
第二条　この法律において「個人情報」とは、生存する個人に関する情報であって、次の各号のいずれかに該当するものをいう。
一　当該情報に含まれる・・・・氏名、生年月日その他の記述等（文書、図画若しくは電磁的記録…（略）…に記載され、若しくは記録され、又は音声、動作その他の方法を用いて表された一切の事項（個人識別符号を除く。）をいう。以下同じ。）により特定の個人を識別することができるもの（他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなるものを含む。）

「記述等」の内容

「記述等」とは、氏名と生年月日が例示として挙げられていますが、文書、図画若しくは電磁的記録に記載され、若しくは記録され、又は音声、動作その他の方法を用いて表された一切の事項をいいます（括弧書き参照）。

「又は」のところで大きく2つに分かれますので、「記述等」には、

• 文書、図画若しくは電磁的記録に記載され、若しくは記録された一切の事項
• 音声、動作その他の方法を用いて表された一切の事項

の2パターンがあることになります。

前者のパターンの「記載」は、紙など物理媒体に対する直接的に可視的なものに、「記録」は、録音・録画データのような電磁的記録に対応しています。

後者のパターンは、「記載」や「記録」がされたものではなく、「表された」ものになります。

「音声」（を用いて表された事項）とは、例えば、受付で本人が自分の氏名を告げたような場合です（※音声の録音データは「電磁的記録」になる）。

「動作」（を用いて表された事項）とは、例えば、手話による場合や、本人確認に対して本人がうなずいて同意したような場合です。

「その他の方法」もありますので、例えば、生存する特定の人物の銅像等も該当し得ます。

②照合容易性による識別性（1号括弧書き）

上記①のようにその情報に含まれる情報によって個人を識別できなくても、照合が容易な他の情報を合わせると特定の個人を識別できる場合も、個人識別性を満たします。

これを照合容易性による識別性といい、「他の情報」自体で・・・特定の個人を識別できる場合のほか、「他の情報」とその情報が合体してはじめて・・・・・・・・特定の個人を識別できるようになる場合も含まれます。

なお、容易性とは、照合・・が容易という意味であって、識別・・が容易という意味ではありません。

条文も確認してみます（1号括弧書き）。

▽法2条1項1号のうち括弧書きの部分

（定義）
第二条　この法律において「個人情報」とは、生存する個人に関する情報であって、次の各号のいずれかに該当するものをいう。
一　当該情報に含まれる氏名、生年月日その他の記述等（文書、図画若しくは電磁的記録…（略）…に記載され、若しくは記録され、又は音声、動作その他の方法を用いて表された一切の事項（個人識別符号を除く。）をいう。以下同じ。）により特定の個人を識別することができるもの（他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなるものを含む。）

照合容易性の典型例は、顧客ID等を通じて情報の紐づけが容易な場合などです。

▽ガイドラインQ&A1-19

　「他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなる」（法第2条第1項）に該当する事例としては、どのようなものがありますか。

　例えば、特定の個人を識別することができる情報に割り当てられている識別子（例：顧客 ID 等）と共通のものが割り当てられていることにより、事業者内部において、特定の個人を識別することができる情報とともに参照することが可能な場合、他の情報と容易に照合することができると解され得るものと考えられます。

③個人識別符号による識別性（2号）

最後は、個人識別符号による識別性です。

条文も確認してみます（2号）。略しながら読むと、「生存する個人に関する情報であって、個人識別符号が含まれるもの」と書いていることになります。

▽法2条1項2号

（定義）
第二条　この法律において「個人情報」とは、生存する個人に関する情報であって、次の各号のいずれかに該当するものをいう。
二　個人識別符号が含まれるもの

個人識別符号とは、情報そのものから特定の個人を識別できる文字、番号、記号その他の符号のことで、条文としては、法2条2項に定められています。

生体認証データ（1号）とその他の符号（2号）の2種類があります。

▽法2条2項（※【　】は管理人注）

２　この法律において「個人識別符号」とは、次の各号のいずれかに該当する文字、番号、記号その他の符号のうち、政令で定めるものをいう。
【生体認証データ】
一　特定の個人の身体の一部の特徴を電子計算機の用に供するために変換した文字、番号、記号その他の符号であって、当該特定の個人を識別することができるもの
【その他の符号】
二　個人に提供される役務の利用若しくは個人に販売される商品の購入に関し割り当てられ、又は個人に発行されるカードその他の書類に記載され、若しくは電磁的方式により記録された文字、番号、記号その他の符号であって、その利用者若しくは購入者又は発行を受ける者ごとに異なるものとなるように割り当てられ、又は記載され、若しくは記録されることにより、特定の利用者若しくは購入者又は発行を受ける者を識別することができるもの

生体認証データ（1号）

これは、指紋や虹彩など、生体認証データに使用される身体の一部の特徴をコンピューターで利用するために変換した文字、番号、記号等のことです。

具体的な内容は施行令1条に定められており、ざっくりいうと、以下のものがあります。

• DNA
• 容貌（いわゆる顔認証）
• 虹彩
• 声紋
• 歩行の態様
• 静脈
• 指紋・掌紋
• これらの組み合わせ

条文も確認してみます（施行令1条の1号）。

▽施行令1条1号

（個人識別符号）
第一条　個人情報の保護に関する法律（以下「法」という。）第二条第二項の政令で定める文字、番号、記号その他の符号は、次に掲げるものとする。
一　次に掲げる身体の特徴のいずれかを電子計算機の用に供するために変換した文字、番号、記号その他の符号であって、特定の個人を識別するに足りるものとして個人情報保護委員会規則で定める基準に適合するもの
　イ　細胞から採取されたデオキシリボ核酸（別名DNA）を構成する塩基の配列
　ロ　顔の骨格及び皮膚の色並びに目、鼻、口その他の顔の部位の位置及び形状によって定まる容貌
　ハ　虹彩の表面の起伏により形成される線状の模様
　ニ　発声の際の声帯の振動、声門の開閉並びに声道の形状及びその変化
　ホ　歩行の際の姿勢及び両腕の動作、歩幅その他の歩行の態様
　ヘ　手のひら又は手の甲若しくは指の皮下の静脈の分岐及び端点によって定まるその静脈の形状
　ト　指紋又は掌紋

「個人情報保護委員会規則で定める基準」も確認してみます（施行規則2条）。

▽施行規則2条

（身体の特徴を電子計算機の用に供するために変換した文字、番号、記号その他の符号に関する基準）
第二条　個人情報の保護に関する法律施行令（以下「令」という。）第一条第一号の個人情報保護委員会規則で定める基準は、特定の個人を識別することができる水準が確保されるよう、適切な範囲を適切な手法により電子計算機の用に供するために変換することとする。

なお、”これらの組み合わせ”というのは、条文には出てきませんが、上記の基準に適合し、個人識別符号に該当することとなるものとして、通則ガイドライン2-2の中で定められています。

▽通則ガイドライン2-2（抜粋）

チ　組合せ
政令第1条第1号イからトまでに掲げるものから抽出した特徴情報を、組み合わせ、本人を認証することを目的とした装置やソフトウェアにより、本人を認証することができるようにしたものその他の符号

その他の符号（2号）

これは、個人に提供されるサービスの利用や個人に販売される商品の購入に関して割り当てられる符号、あるいは、個人に発行されるカード等に記載される符号のことです。

コンピューターで利用するかどうかは問いません。

具体的な内容は施行令1条に定められており、ざっくりいうと、以下のものがあります。

• 旅券の番号、基礎年金番号、運転免許証番号、住民票コード、マイナンバー
• 国民健康保険証の記号、番号、保険者番号
• 高齢者医療法、介護保険法に基づく被保険者の番号、保険者番号
• 健康保険証、高齢受給者証の被保険者証の記号・番号・保険者番号、雇用保険被保険者証の被保険者番号

条文も確認してみます（施行令1条の2号～8号）。

▽施行令1条2号～8号

二　旅券法（昭和二十六年法律第二百六十七号）第六条第一項第一号の旅券の番号
三　国民年金法（昭和三十四年法律第百四十一号）第十四条に規定する基礎年金番号
四　道路交通法（昭和三十五年法律第百五号）第九十三条第一項第一号の免許証の番号
五　住民基本台帳法（昭和四十二年法律第八十一号）第七条第十三号に規定する住民票コード
六　行政手続における特定の個人を識別するための番号の利用等に関する法律（平成二十五年法律第二十七号）第二条第五項に規定する個人番号
七　次に掲げる証明書にその発行を受ける者ごとに異なるものとなるように記載された個人情報保護委員会規則で定める文字、番号、記号その他の符号
　イ　国民健康保険法（昭和三十三年法律第百九十二号）第九条第二項の被保険者証
　ロ　高齢者の医療の確保に関する法律（昭和五十七年法律第八十号）第五十四条第三項の被保険者証
　ハ　介護保険法（平成九年法律第百二十三号）第十二条第三項の被保険者証
八　その他前各号に準ずるものとして個人情報保護委員会規則で定める文字、番号、記号その他の符号

なお、「個人情報保護委員会規則で定める文字、番号、記号その他の符号」（上記の7号・8号）としては、施行規則3条と4条に定められています。

まとめ

ここまで見てきたところを表でまとめてみると、以下のようになります。

【個人情報の定義】

法2条1項			施行令・施行規則
生存する（生存者性）
個人に関する情報であって（個人関連性）
特定の個人を識別することができるもの（個人識別性）	①記述等による識別性【1号】
	②照合容易性による識別性【1号括弧書き】
	③個人識別符号（法2条2項）による識別性【2号】	生体認証データ	法2条2項1号→施行令1条1号→施行規則2条
		その他の符号	法2条2項2号→施行令1条2号～8号→施行規則3条、4条

誤解しやすいポイント（私見）

最後に、誤解しやすいと思うポイント（私見）を2つ補足してみたいと思います。

公開情報でも個人情報である

ひとつは、公開情報でも個人情報であるという点です。

「個人情報」が何なのかを把握するときの最初のつまずきは、おそらくここであるように思います。

管理人の個人的経験でいうと、公開情報は個人情報ではないと誤解している人が、そこそこいるような気がします（管理人が以前に在籍していた金融系会社の管理部門責任者でもわかっていなかったりしたことも）。

個人情報の”漏洩”という言い方がありますので、秘匿された情報と勘違いしていたとか、または、機微情報（センシティブ情報）だけを個人情報と勘違いしていたのかもしれません。あるいは、プライバシーの概念（公開されていない個人の私生活上の行状）と混同していたのかもしれません。

しかし、本記事で見てきたように、「非公開であること」は個人情報の要件となっていません。また、プライバシーとも関連はしていますが、個人情報保護法は、プライバシーの保護を直接の目的としたものではないです。

個人を識別できる情報や、特にいったん集合体となって体系化されたもの（データベース）は、悪用されると個人の権利利益が害されるので、それを防ごうとしているわけで、公開されているか・されていないかは関係ありません。

▽ガイドラインQ&A1-7

　新聞やインターネットなどで既に公表されている個人情報は、個人情報保護法で保護されるのですか。

　公知の情報であっても、その利用目的や他の個人情報との照合など取扱いの態様によっては個人の権利利益の侵害につながるおそれがあることから、個人情報保護法では、既に公表されている情報も他の個人情報と区別せず、保護の対象としています。

「公開情報でも個人情報である」を感覚的にわかりやすくいうと、例えば、地図サービスを提供するときに、オープンにされている表札の情報も集めて参考にするわけですが、これも個人情報であり、これを集めて体系化すると個人情報データベースとなるので、地図として販売するには、第三者提供の制限との関係からオプトアウト手続をとっていないといけないわけです。

▽ガイドラインQ&A1-49

　インターネット上等において不特定多数の者が取得できる公開情報（一般人・民間企業が公表している情報だけでなく、官報等公的機関が公表している情報を含む）を取得し、新たに特定の個人情報を検索することができるように構成したデータベースを作成した上で、不特定多数の者が閲覧できるようにすることはできますか。

　公開情報であっても、生存する個人に関する情報であって特定の個人を識別できる情報（他の情報と容易に照合できる場合を含みます。）は、個人情報に該当し、このような情報を集めて、新たに特定の個人情報を検索できるように作成したデータベースは、原則として、個人情報データベース等に該当します。
　したがって、事業者の規模にかかわらず、これを事業の用に供している場合は、個人情報取扱事業者に該当するため、利用目的の通知又は公表が必要となります（法第21条第1項）。
　また、このような情報を不特定多数の者が閲覧できるような状態に供する行為は、第三者提供に該当し、原則として本人の同意が必要になります（法第27条第1項）。
（令和元年6月追加）

公開されていても個人情報である例として、他には、登記簿等の情報（ガイドラインQ&A2-4参照）なども挙げられています

行動履歴だけでは個人情報ではない

逆に、個人情報として規制しなければいけないような気がするのに、実は個人情報には該当しないものもあります。いわゆる端末識別子です。

例えばCookie情報がそれであり、どこの誰かはわからないけれども（つまり特定の個人を識別できないけれども）、技術的には、”この者”を識別できる、というものです。

iOSでいえばIDFAであり、アンドロイドでいえばADIDですが、アドテクの分野、特にターゲティング広告で利用されます。

なにかをクリックすると、それに関連する広告がタイムラインやネット広告等で急に出てくるようになるのは、その端末識別子の行動履歴が収集されているからであり、”この者”がどこの誰かはわからないが、こういう動きをしている、というのは把握されているわけです。

感覚的にはこのような行動履歴が収集されている方が恐ろしい気がしますが、特定の個人を識別しているわけではないので（その端末識別子を識別しているだけ）、行動履歴が紐づいていたとしても、端末識別子だけでは個人情報には該当しません。

ただ、現在は、個人情報保護法上も、個人関連情報として、一定程度の規制が及ぶようになっています。

結び

今回は、個人情報保護法を勉強しようということで、個人情報の定義について見てみました。

［注記］
本記事を含む一連の勉強記事は、過去の自分に向けて、①自分の独学や経験の記録を見せる、②感覚的な理解を伝えることを優先する、③細かく正確な理解は書物に譲る、ということをコンセプトにした読みものです。ベテランの方が見てなるほどと思うようなことは書かれていないほか、業務上必要であるときなど、正確な内容については別途ご確認ください。また、法改正をはじめとした最新の情報を反映しているとは限りませんので、ご注意ください。

個人情報保護法に関するその他の記事（≫カテゴリページ）

主要法令等・参考文献

当サイトではアフィリエイトプログラムを利用して商品・サービスを記載しています