個人情報保護法を勉強しよう｜個人情報の定義

今回は、個人情報保護法を勉強しようということで、個人情報の定義について書いてみたいと思います。

ではさっそく。なお、引用部分の太字、下線、改行などは管理人によるものです。

個人情報の定義（法2条1項）

個人情報の定義は、法2条1項に定められており、以下の3要件になる。

• 生存する（生存者性）
• 個人に関する情報であって（個人関連性）
• 特定の個人を識別することができるもの（個人識別性）

条文も確認してみると、以下のとおりである。

（定義）
第二条　この法律において「個人情報」とは、生存する個人に関する情報であって、次の各号のいずれかに該当するものをいう。（略）

「次の各号」の部分で、特定の個人を識別できるパターン（個人識別性）が列挙されている。

この説明が無味乾燥なので最初からやる気をなくしてしまいがちだが、個人識別性が最も重要（中核）である。

以下、順に見てみる。

個人に関する情報（個人関連性）

まず大前提として、個人に関する情報であること（個人関連性）、である。

個人に関する情報とは、個人の属性に関する全ての情報をいい、極めて広い範囲が該当する。

情報の存在形式に限定はなく、文字以外に、映像、音声、動作等も含まれるし、事実を示す情報（事実情報）だけではなく、評価を示す情報（例えば、人事考課のような評価情報）も含まれる。

公開・非公開も問わないし、情報が真実か否かも問わない。

ではいったい何が除かれるのかという気がするが、法人その他の団体の情報（団体情報）は除かれる。例えば、法人の本店所在地や、法人の財務情報などである。

ただし、ここで除かれる団体情報は団体そのもの・・・・に関する情報であり、団体に関わる個人の情報は、当然、「個人に関する情報」に含まれます（ex.役員や従業員や取引先の個人の情報）。

また、統計情報（複数人の情報から共通要素に係る項目を抽出して同じ分類ごとに集計して得られる情報。ガイドラインQ&A1-7参照）も、「個人に関する情報」に該当しない（通則ガイドライン2-8参照）。

▽通則ガイドライン2-8（※「個人関連情報」の解説部分の抜粋）

　また、統計情報は、特定の個人との対応関係が排斥されている限りにおいては、「個人に関する情報」に該当するものではないため、…（略）…

生存者情報（生存者性）

次に、個人とは、生存する個人に限られる（生存者性）。

死者に関する情報や、架空の人物（実在しない個人）に関する情報は、ここでいう個人情報に該当しない。

ただし、死者に関する情報は、生存する遺族等についての個人情報に該当する場合がある。

▽ガイドラインQ&A

　死者の情報は、個人情報保護法の保護の対象になりますか。

　個人情報保護法は、「個人情報」を生存する個人に関する情報に限っており、死者に関する情報については保護の対象とはなりません。
　ただし、死者に関する情報が、同時に生存する遺族などに関する情報である場合（例：死者の家族関係に関する情報は、死者に関する情報であると同時に、生存する遺族に関する情報である場合があります。）には、その遺族などに関する「個人情報」となります。
　なお、生存する個人と死者に関する情報を一体的に管理しているような場合において、事業及び情報の性質等を踏まえて、死者の情報についても漏えい等しないように適切に管理することは、望ましい取組と考えます。

特定の個人を識別することができるもの（個人識別性）

3つめは、特定の個人を識別することができるものであること、である（個人識別性）。

「識別することができる」かどうかの判断基準は、一般人を基準とする。

▽ガイドラインQ&A1-21

「特定の個人を識別することができる」とは、どのような意味ですか。

「特定の個人を識別することができる」とは、社会通念上、一般人の判断力や理解力をもって、生存する具体的な人物と情報との間に同一性を認めるに至ることができることをいいます。

この個人識別性が3要件のなかで最も重要（中核）であり、①記述等による識別性、②照合容易性による識別性、③個人識別符号による識別性という、3種類のパターンがある。

①記述等による識別性（1号）

記述等による識別性は、その情報に含まれる氏名、生年月日その他の記述等により、特定の個人を識別できるものであること、である。

ここで注意すべきなのは、その特定に役立った部分だけではなく、その情報を含む全体が個人情報になるということである。

例えば、名刺を例にとれば、名刺には、所属する会社名、部署名、役職、氏名、電話番号、メールアドレス等のいろんな情報が含まれるが、氏名と部署名だけで特定の個人を識別できる（そして、電話番号だけでは特定の個人を識別できない）としても、電話番号等も含めて、名刺に記載されている情報全体が、個人に関する情報として「個人情報」に該当する。

条文も確認してみる（法2条1項1号）。

略しながら読むと、「個人情報とは、生存する個人に関する情報であって、当該情報に含まれる・・・・記述等により特定の個人を識別することができるもの」と書いているので、特定に至らしめる情報を含めて、その情報の全体が、個人に関する情報（前述のように、個人の属性に関する全ての情報）として「個人情報」となるわけである。

（定義）
第二条　この法律において「個人情報」とは、生存する個人に関する情報であって、次の各号のいずれかに該当するものをいう。
一　当該情報に含まれる・・・・氏名、生年月日その他の記述等（文書、図画若しくは電磁的記録…（略）…に記載され、若しくは記録され、又は音声、動作その他の方法を用いて表された一切の事項（個人識別符号を除く。）をいう。以下同じ。）により特定の個人を識別することができるもの（他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなるものを含む。）

記述等とは、氏名と生年月日が例示として挙げられているが、文書、図画若しくは電磁的記録に記載され、若しくは記録され、又は音声、動作その他の方法を用いて表された一切の事項をいう（括弧書き参照）。

「又は」のところで、大きく2つに分かれるので、記述等には、

• 文書、図画若しくは電磁的記録に記載され、若しくは記録された一切の事項
• 音声、動作その他の方法を用いて表された一切の事項

の2パターンがあることになる。

前者のパターンの「記載」は、紙など物理媒体に対する直接的に可視的なものに、「記録」は、録音・録画データのような電磁的記録に、それぞれ対応している。

後者のパターンは、「記載」や「記録」がされたものではなく、「表された」ものである。

「音声」（を用いて表された事項）とは、例えば、受付で本人が自分の氏名を告げたような場合である（※音声の録音データは「電磁的記録」になる）。

「動作」（を用いて表された事項）とは、例えば、手話による場合や、本人確認に対して本人がうなずいて同意したような場合である。

「その他の方法」もあるので、例えば、生存する特定の人物の銅像等も該当しうる。

②照合容易性による識別性（1号括弧書き）

上記①のように、その情報に含まれる情報によって個人を識別できなくても、照合が容易な他の情報を合わせると特定の個人を識別できる場合も、個人識別性を満たす。

これを照合容易性による識別性といい、「他の情報」自体で・・・特定の個人を識別できる場合のほか、「他の情報」とその情報が合体してはじめて・・・・・・・・特定の個人を識別できるようになる場合も含まれる。

なお、容易性は、照合が容易という意味であって、識別が容易という意味ではない。

条文も確認してみる（1号括弧書きの部分）。

（定義）
第二条　この法律において「個人情報」とは、生存する個人に関する情報であって、次の各号のいずれかに該当するものをいう。
一　当該情報に含まれる氏名、生年月日その他の記述等（文書、図画若しくは電磁的記録…（略）…に記載され、若しくは記録され、又は音声、動作その他の方法を用いて表された一切の事項（個人識別符号を除く。）をいう。以下同じ。）により特定の個人を識別することができるもの（他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなるものを含む。）

照合容易性の典型例は、顧客ID等を通じて情報の紐づけが容易である場合などである。

▽ガイドラインQ&A1-19

　「他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなる」（法第2条第1項）に該当する事例としては、どのようなものがありますか。

　例えば、特定の個人を識別することができる情報に割り当てられている識別子（例：顧客 ID 等）と共通のものが割り当てられていることにより、事業者内部において、特定の個人を識別することができる情報とともに参照することが可能な場合、他の情報と容易に照合することができると解され得るものと考えられます。

③個人識別符号による識別性（2号）

最後は、個人識別符号による識別性である。

条文を確認してみる（法2条1項）。略しながら読むと、「生存する個人に関する情報であって、個人識別符号が含まれるもの」と書いていることになる。

（定義）
第二条　この法律において「個人情報」とは、生存する個人に関する情報であって、次の各号のいずれかに該当するものをいう。
二　個人識別符号が含まれるもの

個人識別符号とは

個人識別符号とは、情報そのものから特定の個人を識別できる文字、番号、記号その他の符号であり、条文としては、法2条2項に定められている。

生体認証データ（1号）と、その他の符号（2号）の、2種類がある。

（定義）
第二条
２　この法律において「個人識別符号」とは、次の各号のいずれかに該当する文字、番号、記号その他の符号のうち、政令で定めるものをいう。
一　特定の個人の身体の一部の特徴を電子計算機の用に供するために変換した文字、番号、記号その他の符号であって、当該特定の個人を識別することができるもの
二　個人に提供される役務の利用若しくは個人に販売される商品の購入に関し割り当てられ、又は個人に発行されるカードその他の書類に記載され、若しくは電磁的方式により記録された文字、番号、記号その他の符号であって、その利用者若しくは購入者又は発行を受ける者ごとに異なるものとなるように割り当てられ、又は記載され、若しくは記録されることにより、特定の利用者若しくは購入者又は発行を受ける者を識別することができるもの

生体認証データ

これは、指紋や虹彩など、生体認証データに使用される身体の一部の特徴をコンピューターで利用するために変換した文字、番号、記号等のことである。

具体的な内容は、施行令1条に定められている。ざっくりいうと、以下のものがある。

• DNA
• 容貌（いわゆる顔認証）
• 虹彩
• 声紋
• 歩行の態様
• 静脈
• 指紋・掌紋
• これらの組み合わせ

条文も確認してみる（施行令1条の1号）。

（個人識別符号）
第一条　個人情報の保護に関する法律（以下「法」という。）第二条第二項の政令で定める文字、番号、記号その他の符号は、次に掲げるものとする。
一　次に掲げる身体の特徴のいずれかを電子計算機の用に供するために変換した文字、番号、記号その他の符号であって、特定の個人を識別するに足りるものとして個人情報保護委員会規則で定める基準に適合するもの
　イ　細胞から採取されたデオキシリボ核酸（別名ＤＮＡ）を構成する塩基の配列
　ロ　顔の骨格及び皮膚の色並びに目、鼻、口その他の顔の部位の位置及び形状によって定まる容貌
　ハ　虹彩の表面の起伏により形成される線状の模様
　ニ　発声の際の声帯の振動、声門の開閉並びに声道の形状及びその変化
　ホ　歩行の際の姿勢及び両腕の動作、歩幅その他の歩行の態様
　ヘ　手のひら又は手の甲若しくは指の皮下の静脈の分岐及び端点によって定まるその静脈の形状
　ト　指紋又は掌紋

個人情報保護委員会規則で定める基準も確認してみる（施行規則2条）。

（身体の特徴を電子計算機の用に供するために変換した文字、番号、記号その他の符号に関する基準）
第二条　個人情報の保護に関する法律施行令（以下「令」という。）第一条第一号の個人情報保護委員会規則で定める基準は、特定の個人を識別することができる水準が確保されるよう、適切な範囲を適切な手法により電子計算機の用に供するために変換することとする。

なお、”これらの組み合わせ”というのは、条文には出てこないが、上記の基準に適合し、個人識別符号に該当することとなるものとして、通則ガイドライン2-2の中で定められている。

▽通則ガイドライン2-2（抜粋）

チ　組合せ
政令第 1 条第 1 号イからトまでに掲げるものから抽出した特徴情報を、組み合わせ、本人を認証することを目的とした装置やソフトウェアにより、本人を認証することができるようにしたものその他の符号

その他の符号

これは、個人に提供されるサービスの利用や個人に販売される商品の購入に関して割り当てられる符号、あるいは、個人に発行されるカード等に記載される符号である。

これは、コンピューターで利用するかどうかは問わない。

具体的な内容は、施行令1条に定められている。ざっくりいうと、以下のものがある。

• 旅券の番号、基礎年金番号、運転免許証番号、住民票コード、マイナンバー
• 国民健康保険証の記号、番号、保険者番号
• 高齢者医療法、介護保険法に基づく被保険者の番号、保険者番号
• 健康保険証、高齢受給者証の被保険者証の記号・番号・保険者番号、雇用保険被保険者証の被保険者番号

条文も確認してみる（施行令1条の2号～8号）。

二　旅券法（昭和二十六年法律第二百六十七号）第六条第一項第一号の旅券の番号
三　国民年金法（昭和三十四年法律第百四十一号）第十四条に規定する基礎年金番号
四　道路交通法（昭和三十五年法律第百五号）第九十三条第一項第一号の免許証の番号
五　住民基本台帳法（昭和四十二年法律第八十一号）第七条第十三号に規定する住民票コード
六　行政手続における特定の個人を識別するための番号の利用等に関する法律（平成二十五年法律第二十七号）第二条第五項に規定する個人番号
七　次に掲げる証明書にその発行を受ける者ごとに異なるものとなるように記載された個人情報保護委員会規則で定める文字、番号、記号その他の符号
　イ　国民健康保険法（昭和三十三年法律第百九十二号）第九条第二項の被保険者証
　ロ　高齢者の医療の確保に関する法律（昭和五十七年法律第八十号）第五十四条第三項の被保険者証
　ハ　介護保険法（平成九年法律第百二十三号）第十二条第三項の被保険者証
八　その他前各号に準ずるものとして個人情報保護委員会規則で定める文字、番号、記号その他の符号

なお、「個人情報保護委員会規則で定める文字、番号、記号その他の符号」（上記の7号・8号）としては、施行規則3条と4条に定められている。

まとめ

以上の構造を表でまとめてみると、以下のとおりである。

個人情報の定義【法2条1項】			施行令・施行規則
生存する（生存者性）
個人に関する情報であって（個人関連性）
特定の個人を識別することができるもの（個人識別性）	記述等による識別性【1号】
	照合容易性による識別性【1号括弧書き】
	個人識別符号（法2条2項）による識別性【2号】	生体認証データ	法2条2項1号→施行令1条1号→施行規則2条
		その他の符号	法2条2項2号→施行令1条2号～8号→施行規則3条、4条

誤解しやすいポイント（私見）

公開情報でも個人情報である

「個人情報」が何なのかを把握するときの最初のつまずきは、おそらくここであるように思う。

管理人の個人的経験でいうと、公開情報は個人情報ではないと誤解している人が、そこそこいるような気がする。以前に在籍していた金融系会社の管理部門責任者でもわかっていなかったりしたことがある。

個人情報の”漏洩”という言い方があるので、秘匿された情報と勘違いしていたのかもしれない。または、機微情報（センシティブ情報）だけを個人情報と勘違いしていたのかもしれない。あるいは、プライバシーの概念（公開されていない個人の私生活上の行状）と混同していたのかもしれない。

しかし、本記事で見てみたように、「非公開であること」は個人情報の要件となっていない。また、プライバシーとも関連はしているが、個人情報保護法は、プライバシーの保護を直接の目的としたものではない。

個人を識別できる情報や、特にいったん集合体となって体系化されたもの（データベース）は、悪用されると個人の権利利益が害されるので、それを防ごうとしているのであり、公開されているか・されていないかは関係ない。

▽ガイドラインQ&A1-7

　新聞やインターネットなどで既に公表されている個人情報は、個人情報保護法で保護されるのですか。

　公知の情報であっても、その利用目的や他の個人情報との照合など取扱いの態様によっては個人の権利利益の侵害につながるおそれがあることから、個人情報保護法では、既に公表されている情報も他の個人情報と区別せず、保護の対象としています。

「公開情報でも個人情報である」を感覚的にわかりやすくいうと、例えば、地図サービスを提供するときに、オープンにされている表札の情報も集めて参考にするわけだが、これも個人情報であり、これを集めて体系化すると個人情報データベースとなるのであり、地図として販売するには、第三者提供の制限との関係からオプトアウト手続をとっていないといけないわけである。

▽ガイドラインQ&A1-49

　インターネット上等において不特定多数の者が取得できる公開情報（一般人・民間企業が公表している情報だけでなく、官報等公的機関が公表している情報を含む）を取得し、新たに特定の個人情報を検索することができるように構成したデータベースを作成した上で、不特定多数の者が閲覧できるようにすることはできますか。

　公開情報であっても、生存する個人に関する情報であって特定の個人を識別できる情報（他の情報と容易に照合できる場合を含みます。）は、個人情報に該当し、このような情報を集めて、新たに特定の個人情報を検索できるように作成したデータベースは、原則として、個人情報データベース等に該当します。
　したがって、事業者の規模にかかわらず、これを事業の用に供している場合は、個人情報取扱事業者に該当するため、利用目的の通知又は公表が必要となります（法第21条第1項）。
　また、このような情報を不特定多数の者が閲覧できるような状態に供する行為は、第三者提供に該当し、原則として本人の同意が必要になります（法第27条第1項）。
（令和元年6月追加）

公開されていても個人情報である例として、他には、登記簿等の情報（ガイドラインQ&A2-4参照）なども挙げられています。

行動履歴だけでは個人情報ではない

上記とは逆に、個人情報として規制しなければいけないような気がするのに、実は個人情報には該当しないものもある。いわゆる端末識別子である。

例えばCookie情報がそれであり、どこの誰かはわからないけれども（つまり特定の個人を識別できないけれども）、技術的には、”こいつ”を識別できる、というものである。

iOSでいえばIDFAであり、アンドロイドでいえばADIDであるが、アドテクの分野、特にターゲティング広告で利用される。

なにかをクリックすると、それに関連する広告がタイムラインやネット広告等で急に出てくるようになるのは、その端末識別子の行動履歴が収集されているからであり、”こいつ”がどこの誰かはわからないが、こういう動きをしている、というのは把握されているわけである。

感覚的にはこのような行動履歴が収集されている方が恐ろしい気がするが、特定の個人を識別しているわけではないので（その端末識別子を識別しているだけ）、行動履歴が紐づいていたとしても端末識別子だけでは個人情報には該当しない。

ただ、現在は、個人情報保護法上も、個人関連情報として、一定程度規制が及ぶようになっている。

結び

今回は、個人情報保護法を勉強しようということで、個人情報の定義について書いてみました。

［注記］
本記事を含む一連の勉強記事は、過去の自分に向けて、①自分の独学や経験の記録を見せる、②感覚的な理解を伝えることを優先する、③細かく正確な理解は書物に譲る、ということをコンセプトにした読みものです。ベテランの方が見てなるほどと思うようなことは書かれていないほか、業務上必要であるときなど、正確な内容については別途ご確認ください。また、法改正をはじめとした最新の情報を反映しているとは限りませんので、ご注意ください。

個人情報保護法に関するその他の勉強記事

参考文献・主要法令等