個人情報保護法とは ― 個人情報の種類と義務

個人情報保護法は、仕事で人の情報を扱うときのルールを定めた法律です。会員登録の受付や顧客名簿の管理、取引先の名刺の整理などが当てはまります。このルールを守る義務があるのは、個人情報を扱う事業者や行政機関です。

正式な名前は「個人情報の保護に関する法律」です。個人情報の役に立つ面に配慮しながら、個人の権利と利益を守ることを目的にしています。

事業者が守る義務は、情報の種類によって変わります。名簿の1件なのか、病歴のように慎重に扱う情報なのかで、集め方や他社への渡し方の決まりが違います。

個人情報は、生存する個人に関する情報で、特定の個人を識別できるものです。法律の第2条1項が、そう定めています。氏名がその代表です。生年月日や勤め先は、それだけでは誰か分からなくても、氏名と組み合わせると個人情報になります。

他の情報と簡単に照合できて、それで誰か分かる情報も、個人情報に含まれます。個人情報保護委員会のガイドライン（通則編）は、本人が判別できる防犯カメラの映像も例に挙げています。会社のような法人そのものの情報は、「個人」の情報ではないので個人情報に当たりません。

それだけで特定の個人を識別できる番号や符号もあります。法律は、これを個人識別符号と呼びます。政令は、顔認証や指紋認証に使う特徴のデータと、旅券の番号・運転免許証の番号・個人番号などの番号を定めています。個人識別符号を含む情報は、それだけで個人情報です。

個人情報を検索できるように整理した集まりを、法律は個人情報データベース等と呼びます。この集まりを構成する1件1件の個人情報が個人データです。個人データのうち、事業者が開示・訂正・削除などをする権限を持つものを、保有個人データと呼びます。

名刺で考えます。名刺入れにしまった1枚の名刺は、個人情報です。その情報を表計算ソフトに入力して一覧にすると、一覧の1件1件が個人データになります。

範囲が狭くなるほど、事業者の義務は増えます。個人情報には、利用目的を決めて本人に知らせるか公表する義務がかかります。個人データには、安全に管理する義務と、勝手に第三者へ渡さない義務が加わります。保有個人データには、本人から開示や訂正を求められたときに応じる義務が加わります。

個人情報データベース等を事業に使っている者を、個人情報取扱事業者と呼びます。国の機関や地方公共団体などは除かれ、行政機関等の義務は別の章が定めています。ガイドラインは、個人情報取扱事業者に当たる事業者であれば、業種や規模を問わず適用されると書いています。

個人情報保護委員会のQ&Aは、携帯電話の電話帳についての考え方を示しています。従業者が業務で使う携帯電話の電話帳も、個人情報データベース等に当たるという内容です。名刺やメールソフトのアドレス帳は、私的に使うだけなら会社の個人情報データベース等に当たりません。業務に使えば、当たり得るとしています。

個人情報のうち、本人への不当な差別や偏見が生じないよう、特に慎重に扱うものがあります。これを要配慮個人情報と呼びます。第2条3項は、人種・信条・社会的身分・病歴・犯罪の経歴・犯罪の被害を受けた事実を挙げています。

これに加えて政令は、心身の機能の障害があることや、健康診断などの検査の結果を定めています。医師による指導・診療・調剤が行われたことや、本人を被疑者や被告人とする刑事事件の手続が行われたことも含まれます。

要配慮個人情報と、ふつうの個人情報の違いは、取得と提供の決まりにあります。第20条2項は、法令に基づく場合などを除き、要配慮個人情報の取得には本人の同意が要ると定めています。後の節で説明するオプトアウトによる第三者提供も、要配慮個人情報には使えません。

ガイドラインによると、要配慮個人情報を推測させるだけの情報は含まれません。例として挙がっているのは、宗教に関する本を買った記録です。健康診断を受けたという事実だけでは、要配慮個人情報に当たりません。

個人情報を加工して、誰のものか分からなくした情報にも、法律の定めがあります。仮名加工情報と匿名加工情報の違いは、元の本人に戻せるかどうかです。

仮名加工情報は、他の情報と照合しない限り、本人を特定できないように加工した情報です。たとえば、購入履歴の氏名を、規則性のないIDに置き換えます。削った氏名とIDの対応表があれば、元に戻せます。ただし、第41条7項は本人を識別するための照合を禁じています。

匿名加工情報は、本人を特定できず、元の個人情報にも戻せないように加工した情報です。作った事業者は、含まれる項目を公表します。第三者に渡すときは、項目と渡し方を公表し、匿名加工情報であることを相手に示します。

仮名加工情報は、法令に基づく場合などを除いて、第三者に提供できません。ここまでの種類を、次の表にまとめます。

個人情報・仮名加工情報・匿名加工情報のどれにも当たらない、生存する個人に関する情報もあります。法律は、これを個人関連情報と呼びます。ガイドラインは、Cookieで集めたWebサイトの閲覧履歴を例に挙げています。

次の図で事例を1つ選ぶと、その情報がどの種類に当たるかと、根拠の条文が表示されます。判定は、条文とガイドラインの例に当てはめたものです。同じ情報でも、集め方や使い方によって扱いが変わることがあります。

取得と利用：利用目的を決めて知らせる

個人情報取扱事業者は、個人情報を何に使うかを、できる限り特定しなければなりません。これが第17条の利用目的の特定です。決めた目的の範囲を超えて使うには、法令に基づく場合などを除き、あらかじめ本人の同意が要ります。

個人情報を取得したら、利用目的を本人に知らせるか、公表します。あらかじめ公表している場合は、取得後に改めて知らせる必要はありません。ただし、申込書などで本人から直接書面で取得するときは、あらかじめ本人に利用目的を明示します。うそや不正な手段で個人情報を取得することは、第20条1項が禁じています。

保管：安全管理措置と漏えい等の報告

第23条は、個人データの漏えい・滅失・毀損を防ぐため、必要で適切な措置をとることを求めています。これを安全管理措置と呼びます。ガイドラインは、組織的・人的・物理的・技術的の4つの安全管理措置に、基本方針の策定などを加えて示しています。組織全体の方針と規程の組み立て方は、情報セキュリティポリシーの記事にまとめています。

4つの分け方は、ISMSの管理策の4分類と同じ名前です。技術的安全管理措置の例には、アクセス制御や、不正アクセスから情報システムを守る仕組みが挙がっています。事業者は、個人データを扱う従業者と委託先を監督する義務も負います。

個人データの漏えいなどで、個人の権利や利益を害するおそれが大きいことがあります。このときは、個人情報保護委員会への報告と本人への通知が要ります。これは第26条の義務です。ガイドラインは、報告が要る場合として次の4つを挙げています。

• 要配慮個人情報を含む個人データが漏えいした、またはそのおそれがある
• 不正に使われると財産的な被害が出るおそれがある個人データが漏えいした、またはそのおそれがある
• 不正アクセスなど、不正の目的によるおそれがある行為で漏えいした、またはそのおそれがある
• 漏えいした、またはそのおそれがある個人データの本人が1,000人を超える

報告は2段階です。ガイドラインは、知ってから速やかに出す速報の目安を、おおむね3〜5日以内としています。すべての事項をそろえる確報は30日以内で、不正の目的によるおそれがある場合は60日以内です。漏えいのようなインシデントに社内で対応する組織については、CSIRTの記事を読むと分かります。

提供：第三者提供の制限

第27条1項は、法令に基づく場合などを除き、本人の同意なく個人データを第三者に渡すことを禁じています。あらかじめ本人の同意を得てから提供するやり方を、オプトインと呼びます。

第27条2項は、本人が求めたら提供を止めることを条件に、同意なしに提供できる方法も定めています。この方法をオプトアウトと呼びます。事業者は、提供する項目や止める求めの受け付け方などを、あらかじめ本人に通知するか本人が容易に知り得る状態に置きます。あわせて、委員会に届け出ます。

個人データを渡しても、相手が第三者に当たらない場合があります。業務の委託先、合併などで事業を引き継ぐ相手、決められた範囲で共同利用する相手です。第27条5項がこの3つを定めています。

本人からの求め：開示・訂正・利用停止

本人は、自分が識別される保有個人データの開示を、事業者に求められます。内容が事実でないときの訂正や、決まりに反して扱われているときの利用停止なども求められます。これらは第33条から第35条が定めています。

これらの義務を守らせる役目を持つのが、個人情報保護委員会です。第130条が設置を定める行政機関で、事業者を監督し、漏えい等の報告を受け付けます。

マイナンバー法は、マイナンバーとして知られる個人番号の使い方と守り方を定めた法律です。正式な名前は「行政手続における特定の個人を識別するための番号の利用等に関する法律」です。第1条は、個人番号を含む情報の扱いについて、個人情報保護法の特例を定めることを目的の1つに挙げています。

個人番号は、住民票コードを変換して得られる番号です。個人番号を含む個人情報を、特定個人情報と呼びます。第19条は、誰であっても、決められた場合を除いて特定個人情報を提供してはならないと定めています。

第20条は、決められた場合を除いて、他人の個人番号を含む特定個人情報の収集と保管も禁じています。個人番号は、個人情報保護法の個人識別符号でもあります。個人情報保護委員会は、事業者向けに「特定個人情報の適正な取扱いに関するガイドライン（事業者編）」を公表しています。

この記事の条文は、e-Gov法令検索で2026年10月27日に確かめた、2026年10月1日施行の版に基づいています。個人情報保護法は改正が続いている法律です。

2026年7月17日には、「個人情報の保護に関する法律等の一部を改正する法律」が公布されました。この改正法は、原則として、公布の日から2年を超えない範囲で政令が定める日に施行されます。罰則などの一部の規定は、公布の日から6か月を経過した日に施行されます。

改正後の条文では、第三者提供の例外や漏えい時の本人への通知などの文言が変わります。最新の条文はe-Gov法令検索で確かめられます。改正の内容と施行の準備の状況は、個人情報保護委員会の改正法のページが案内しています。

• 個人情報の保護に関する法律：e-Gov法令検索、2026年10月1日施行の版
• 行政手続における特定の個人を識別するための番号の利用等に関する法律：e-Gov法令検索、2026年10月1日施行の版
• 個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」：令和8年6月一部改正の版
• 個人情報保護委員会「ガイドラインに関するQ&A」：Q1-37・Q1-38
• 個人情報保護委員会「令和８年 改正個人情報保護法について」：改正法の公布日