ビジネスで個人情報を取り扱う上で、個人情報保護法を避けることはできません。
個人情報保護法上では、「個人情報」「個人データ」「匿名加工情報」等の様々な定義があるほか、各定義に該当する情報によって適用される規制も異なります。
しかし、個人情報保護法は複雑であり、一朝一夕ですべてを理解できるようなものではありません。
個人情報保護法を理解する上で、まず、個人情報保護法における「個人情報」とは何か、という点を理解することが非常に重要です。
では、個人情報保護法でいう「個人情報」(個人情報保護法2条1項)とは何かを見て行くこととしましょう。
個人情報保護法2条1項を簡潔にまとめると､次のような定義がされていることがわかります｡
すなわち､｢個人情報｣とは､以下の2つの要件をみたす情報をいいます｡
では､具体的にはどのような情報が｢個人情報｣となるのでしょうか？
(今回は個人識別符号についての説明は省略し、別エントリに記載することとします。)
(以下、関連条文引用)
個人情報保護法第2条 この法律において｢個人情報｣とは､生存する個人に関する情報であって､次の各号のいずれかに該当するものをいう｡
一 当該情報に含まれる氏名､生年月日その他の記述等(文書､図画若しくは電磁的記録(電磁的方式(電子的方式､磁気的方式その他人の知覚によっては認識することができない方式をいう｡(略))で作られる記録をいう｡(略))に記載され､若しくは記録され､又は音声､動作その他の方法を用いて表された一切の事項(個人識別符号を除く｡)をいう｡以下同じ｡)により特定の個人を識別することができるもの(他の情報と容易に照合することができ､それにより特定の個人を識別することができることとなるものを含む｡)
二 個人識別符号が含まれるもの
2 この法律において｢個人識別符号｣とは､次の各号のいずれかに該当する文字､番号､記号その他の符号のうち､政令で定めるものをいう｡
一 特定の個人の身体の一部の特徴を電子計算機の用に供するために変換した文字､番号､記号その他の符号であって､当該特定の個人を識別することができるもの
二 個人に提供される役務の利用若しくは個人に販売される商品の購入に関し割り当てられ､又は個人に発行されるカードその他の書類に記載され､若しくは電磁的方式により記録された文字､番号､記号その他の符号であって､その利用者若しくは購入者又は発行を受ける者ごとに異なるものとなるように割り当てられ､又は記載され､若しくは記録されることにより､特定の利用者若しくは購入者又は発行を受ける者を識別することができるもの
同法施行令第1条 個人情報の保護に関する法律(以下「法」という。)第2条第2項の政令で定める文字、番号、記号その他の符号は、次に掲げるものとする。
一 次に掲げる身体の特徴のいずれかを電子計算機の用に供するために変換した文字、番号、記号その他の符号であって、特定の個人を識別するに足りるものとして個人情報保護委員会規則で定める基準に適合するもの
イ 細胞から採取されたデオキシリボ核酸(別名DNA)を構成する塩基の配列
ロ 顔の骨格及び皮膚の色並びに目、鼻、口その他の顔の部位の位置及び形状によって定まる容貌
ハ 虹彩の表面の起伏により形成される線状の模様
ニ 発声の際の声帯の振動、声門の開閉並びに声道の形状及びその変化
ホ 歩行の際の姿勢及び両腕の動作、歩幅その他の歩行の態様
ヘ 手のひら又は手の甲若しくは指の皮下の静脈の分岐及び端点によって定まるその静脈の形状
ト 指紋又は掌紋
二 旅券法(昭和26年法律第267号)第6条第1項第1号の旅券の番号
三 国民年金法(昭和34年法律第141号)第14条に規定する基礎年金番号
四 道路交通法(昭和35年法律第105号)第93条第1項第1号の免許証の番号
五 住民基本台帳法(昭和42年法律第81号)第7条第13号に規定する住民票コード
六 行政手続における特定の個人を識別するための番号の利用等に関する法律(平成25年法律第27号)第2条第5項に規定する個人番号
七 次に掲げる証明書にその発行を受ける者ごとに異なるものとなるように記載された個人情報保護委員会規則で定める文字、番号、記号その他の符号
イ 国民健康保険法(昭和33年法律第192号)第9条第2項の被保険者証
ロ 高齢者の医療の確保に関する法律(昭和57年法律第80号)第54条第3項の被保険者証
ハ 介護保険法(平成9年法律第123号)第12条第3項の被保険者証
八 その他前各号に準ずるものとして個人情報保護委員会規則で定める文字、番号、記号その他の符号同法施行規則第2条 個人情報の保護に関する法律施行令(以下「令」という。)第1条第1号の個人情報保護委員会規則で定める基準は、特定の個人を識別することができる水準が確保されるよう、適切な範囲を適切な手法により電子計算機の用に供するために変換することとする。
第3条 令第1条第7号の個人情報保護委員会規則で定める文字、番号、記号その他の符号は、次の各号に掲げる証明書ごとに、それぞれ当該各号に定めるものとする。
(1) 令第1条第7号イに掲げる証明書 同号イに掲げる証明書の記号、番号及び保険者番号
(2) 令第1条第7号ロ及びハに掲げる証明書 同号ロ及びハに掲げる証明書の番号及び保険者番号
第4条 令第1条第8号の個人情報保護委員会規則で定める文字、番号、記号その他の符号は、次に掲げるものとする。
(1) 健康保険法施行規則(大正15年内務省令第36号)第47条第1項及び第2項の被保険者証の記号、番号及び保険者番号
(2) 健康保険法施行規則第52条第1項の高齢受給者証の記号、番号及び保険者番号
(3) 船員保険法施行規則(昭和15年厚生省令第5号)第35条第1項の被保険者証の記号、番号及び保険者番号
(4) 船員保険法施行規則第41条第1項の高齢受給者証の記号、番号及び保険者番号
(5) 出入国管理及び難民認定法(昭和26年政令第319号)第2条第5号に規定する旅券(日本国政府の発行したものを除く。)の番号
(6) 出入国管理及び難民認定法第19条の4第1項第5号の在留カードの番号
(7) 私立学校教職員共済法施行規則(昭和28年文部省令第28号)第1条の7の加入者証の加入者番号
(8) 私立学校教職員共済法施行規則第3条第1項の加入者被扶養者証の加入者番号
(9) 私立学校教職員共済法施行規則第3条の2第1項の高齢受給者証の加入者番号
(10) 国民健康保険法施行規則(昭和33年厚生省令第53号)第7条の4第1項に規定する高齢受給者証の記号、番号及び保険者番号
(11) 国家公務員共済組合法施行規則(昭和33年大蔵省令第54号)第89条の組合員証の記号、番号及び保険者番号
(12) 国家公務員共済組合法施行規則第95条第1項の組合員被扶養者証の記号、番号及び保険者番号
(13) 国家公務員共済組合法施行規則第95条の2第1項の高齢受給者証の記号、番号及び保険者番号
(14) 国家公務員共済組合法施行規則第127条の2第1項の船員組合員証及び船員組合員被扶養者証の記号、番号及び保険者番号
(15) 地方公務員等共済組合法施行規程(昭和37年総理府･文部省･自治省令第1号)第93条第2項の組合員証の記号、番号及び保険者番号
(16) 地方公務員等共済組合法施行規程第100条第1項の組合員被扶養者証の記号、番号及び保険者番号
(17) 地方公務員等共済組合法施行規程第100条の2第1項の高齢受給者証の記号、番号及び保険者番号
(18) 地方公務員等共済組合法施行規程第176条第2項の船員組合員証及び船員組合員被扶養者証の記号、番号及び保険者番号
(19) 雇用保険法施行規則(昭和50年労働省令第3号)第10条第1項の雇用保険被保険者証の被保険者番号
(20) 日本国との平和条約に基づき日本の国籍を離脱した者等の出入国管理に関する特例法(平成3年法律第71号)第8条第1項第3号の特別永住者証明書の番号
まず､｢個人情報｣として個人情報保護法の適用対象となるためには､その情報が｢生存する個人に関する情報｣であることが必要です｡
次のような情報は、個人情報保護法にいう｢個人情報｣ではありません。
ただし、死者に関する情報については、これが同時に生存する個人に関する情報でもある場合には、｢生存する個人に関する情報｣に該当します。
個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン(通則編)」p6
「死者に関する情報が、同時に、遺族等の生存する個人に関する情報でもある場合には、当該生存する個人に関する情報に該当する。」
また、「個人に関する情報」とは、個人の属性に関して、事実、判断、評価を表す全ての情報とされています。
前記ガイドラインp5
「『個人に関する情報』とは、氏名、住所、性別、生年月日、顔画像等個人を識別する情報に限られず、個人の身体、財産、職種、肩書等の属性に関して、事実、判断、評価を表す全ての情報であり、評価情報、公刊物等によって公にされている情報や、映像、音声による情報も含まれ、暗号化等によって秘匿化されているかどうかを問わない。 」
この「個人に関する情報」の定義からすると、「個人情報」に該当する可能性のある情報の範囲が非常に広いことがわかります。
例えば、ドライブレコーダーやスマートウォッチ等によって取得される位置情報や、冷蔵庫やテレビ等の家電製品の稼働状況等の機器の作動状況のデータであっても、「個人情報」に該当し得るとされています。
条文にも列挙されている氏名のみならず､｢特定の個人を識別することができる情報｣を含んでいれば、個人情報に該当します｡
したがって、「個人に関する情報」の定義も併せ､個人情報に該当する可能性のある情報の範囲は相当広いことがわかります｡
また、｢特定の個人を識別することができる｣か否かは､｢一般人の判断力や理解力をもってして生存する具体的な人物と当該情報との間に同一性を認めることができるかどうか｣という基準により判断されます｡
誤解を恐れずに簡潔に言えば、一般人をして誰の情報かがわかるか否か、という基準によって判断されます。
前記ガイドラインpp5-6において個人情報に該当する事例として挙げられているものは、次のとおりとなります。
以上の例からもわかるように、「個人情報」に該当するか否かの判断において、その情報の中に氏名が含まれる必要はありませんし､その情報から氏名が割り出される必要もありません｡
また､以上の例にSNS等で公にされている情報が含まれているように、たとえ当該情報が公開情報であっても､｢特定の個人を識別することができる情報｣が含まれていれば、｢個人情報｣に該当します｡
先にも引用した条文にもあるとおり、｢特定の個人を識別することができる情報｣は、当該情報が「他の情報と容易に照合することができ､それにより特定の個人を識別することができることとなるものを含」みます(容易照合性)。
この容易照合性の判断もあって、「個人情報」に該当するか否かの判断が非常に難しいものは決して少なくありません。
個人情報保護委員会「『個人情報の保護に関する法律についてのガイドライン』及び『個人データの漏えい等の事案が発生した場合等の対応について』に関するQ&A」によると、例えば、次のような情報も「個人情報」に該当し得ることとなります。
「他の情報と容易に照合することができ」るか否かは、事業者の通常の業務における一般的な方法で他の情報と容易に情報を照合できる状態にある場合に、これが肯定されることとなります。
そして、当該状態にあるか否かの判断は、次のような要素をはじめとする諸要素を総合的に判断した上で、取り扱う個人情報の内容や利用方法等、実態に即してケースバイケースで判断されるとされています。
｢特定の個人を識別することができる」か否かの判断では一般人が基準でした。
他方、「他の情報と容易に照合することができ」るか否かの判断は、当該事業者が基準となるため、事業者によって結論が異なる可能性があるということになります。
例えば、次のような場合には、一般的には容易に照合することができない状態であるとされています。
前記ガイドラインp6
「例えば、他の事業者への照会を要する場合等であって照合が困難な状態は、一般に、容易に照合することができない状態であると解される。」
他方で、複数事業者が連携してサービスを行い、事業者間で組織的･経常的に相互に情報交換が行われているような場合、容易照合性は認められると考えられています。
このように考えると、単一事業者では容易照合性が原則認められるようにも思われますが、必ずしもそうではありません。
例えば、同一事業者内であっても、各部門が独自に取得した個人情報を各部門のDB(データベース)に別々に格納しており、他部門やこれらの部門の統括者等の立場にある者等が、特別に費用や手間をかけることなく、通常業務における一般的な方法でそれぞれのDBに格納された情報を照合できないよう、規程や運用によって照合が可能となるようなDBの取扱いが厳格に禁止されているような場合には、容易照合性は否定されると考えられています。
ところで、個人データ(「個人データ」の詳細は別エントリに記載します。)を第三者提供する場合には、容易照合性について、個人データを提供する者を基準とするのか (提供元基準)、個人データの提供を受ける者を基準とするのか (提供先基準)、どちらでしょうか？
というのも、個人データの第三者提供には、原則として本人の同意を要する等の規制があります(個人情報保護法23条)。
個人データはそもそも個人情報であることが前提ですから、誰を基準に個人情報であるか否かを考えるのかという点は、あるデータを第三者に提供する際に同条の規制を受けるのかどうか、という問題の結論を左右します。
結論から述べると、提供元基準が採用されています。
その理由は、提供元が提供先の事情を把握して提供先の事情によって第三者提供の本人同意の要否が左右されるとなると、本人保護の観点から安定性を欠くためとされています。
したがって、提供元においては提供しようとする情報と特定の個人とをデータベースで照合することはできないが、提供先においては当該情報と特定の個人とをデータベースで照合できる場合であっても、提供元においては当該情報は「個人情報」に該当しない以上、個人情報保護法23条の適用はないことになります。
他方で、提供元においては提供しようとする情報は「個人情報」かつ「個人データ」だが、提供先においては個人をまったく特定できない場合であっても、提供元基準を適用すれば、「個人データ」である以上、原則として個人情報保護法23条の適用があることになります。
このような場合であっても本人の同意を原則要するとするのは不都合であるという点から、提供元基準を厳密に貫くべきかという点には疑問も呈されており、今後変更等がなされる可能性もあります。
受付: 10:00~18:00 / 土日祝を除く