個人情報保護

個人情報とは、任意の一人の個人に関する情報であり、かつその情報に含まれる記述等によって特定の個人を識別できるものを指します。英語では personally identifiable information (PII) もしくは sensitive personal information (SPI)、より一般には personal data と呼ばれます。（出典：Wikipedia）

個人情報は社会活動において大変有用なもので、情報化社会の進展とともに個人情報の利用が著しく拡大しています。一方で行政・民間が保有する膨大な個人情報を容易に処理することが可能となり、そういった個人情報データベース等からの個人情報漏えいによるプライバシー侵害への危険性が増大しました。

そこで、2003年5月に個人情報保護法が制定され、2005年4月に全面施行されました。この法律で保護される個人情報は以下のように定義されています。

　・「個人情報」とは、生存する個人に関する情報であって、当該情報に含まれる氏名、生年月日

　　　その他の記述等により特定の個人を識別することができるもの（他の情報と容易に照合する

　　　ことができ、それにより特定の個人を識別することができることとなるものを含む。）をいう。

さらに、改正個人情報保護法（後述）では、上記に加え、生存する個人に関する情報で、

　・「個人識別符号」（後述参照）が含まれるもの

が追加されました。

個人情報保護法の考え方で重要なことは、この法律の目的が「個人情報の有用性に配慮しつつ、個人の権利利益を保護すること」にある、ということです。単に個人の権利利益を保護する、というだけのものではなく、個人情報の社会における有用性を認め、個人の権利利益の保護とのバランスをとって個人情報を活用していきましょう、ということを意味しています。

個人情報をめぐる環境は、近年、大きく変化しました。とくに「地上デジタル放送への移行」「スマートフォンの普及」「マイナンバー制度の開始」の3つの進歩を軸に、個人（ユーザー）にとっても事業者にとっても、大きなメリットが生まれつつあります。

ユーザー側は、自分の性別や年齢、ふだんの行動、よく利用する店舗、現在地などに合わせて、的確なサービスや情報を自然に受けられるようになりました。事業者側は、個人の特性に合わせたきめ細かな対応など、より先進的なサービスを展開できるようになりました。

一方で、個人情報を取得されることの不安も根強く、漏えい時のリスクも高まっています。

こうした環境の変化を受け、全面施行されてから約10年が経過した個人情報保護法が改正され、2017年5月に施行されました。

改正内容は、「個人情報の定義の明確化」「適切な規律の下で個人情報の有用性を確保」「個人情報の保護を強化（名簿屋対策）」「個人情報保護委員会の新設およびその権限」「個人情報の取り扱いのグローバル化」「その他改正事項」の6項目で構成されています。

改正法では、事業者側がより積極的に個人情報を活用できるよう、何が個人情報にあたるかを厳格に定めることで、本人が特定できないよう加工されれば、個人情報をビッグデータとして利活用できることを目指しています。

以下は、データ管理者などが知っておくべき内容です。少し難しいところもありますので、一般の方々は読み飛ばしていただいて構いません。

基本的に、個人情報取扱事業者が個人データを第三者に提供するためには、予め本人からの同意を得ていることが必要です。但し、以下の場合にはこの条項の適用が除外されます。

• 法令に基づく場合
• 人の生命、身体または財産の保護に必要で、かつ本人の同意を得ることが困難で場合
• 公衆衛生・児童の健全育成に特に必要な場合
• 国の機関等への協力

本人からの「事前の同意」を得ることをオプトイン（opt-in）といいます。これに対して、予め本人に対して「個人データを第三者提供することについて通知または認識し得る状態」にしておき、本人がこれに反対をしないかぎり同意したものとみなし、第三者提供をすることを認めることをオプトアウト（opt-out）といいます。

改正個人情報保護法では、オプトアウトの「個人データを第三者提供することについて通知または認識し得る状態」にすることについて、以下事項の届出制にして厳格化されました。

• 第三者提供を利用目的にすることとその対象項目
• 第三者への提供方法
• 求めに応じて第三者提供を停止すること、および本人の求めを受けつける方法

改正個人情報保護法において、個人識別符号は基本的に以下2つのいずれかに該当するものをいいます。

　①身体の一部の特徴を電子計算機のために変換した符号
　②役務の利用や書類において対象者ごとに割り振られる符号

具体的には、政令で定められることとされていますが、例えば

　①としては、DNAを構成する塩基の配列、顔の骨格、虹彩、声紋、歩行の態様、手指の静脈、指紋・掌紋

　②としては、パスポート番号、基礎年金番号、免許証番号、住民票コード、マイナンバー、各種保険証

などが挙げられます。

クレジットカードや口座番号については、様々な契約形態や運用実態があり、およそいかなる場合においても特定の個人を識別することができるとは限らないことなどから、個人識別符号としては位置づけられていません。ただ、このような番号も、氏名や住所などと容易に照合できて特定の個人を識別することができる場合には、個人情報に該当することになるので、留意が必要です。

改正個人情報保護法では、要配慮個人情報に対して一段と厳しい規律が設けられました。

要配慮個人情報とは、個人情報のうち、本人の人種、信条、病歴など本人に対する不当な差別または偏見が生じる可能性のある個人情報のことです。

要配慮個人情報を取得する場合には原則として本人の同意を取得することや、第三者提供に関してはオプトアウトでは不可とすることなどが盛り込まれています。

改正個人情報保護法ではまた、個人データも含まれている膨大なビッグデータの利活用の促進を図るため、匿名加工情報の概念が導入されました。

匿名加工情報とは、特定の個人を識別することができないように個人情報を加工し、当該個人情報を復元できないようにした情報のことをいいます。具体的には、以下のすべてに対応した加工が求められます。

1. 特定の個人を識別することができる記述等の全部又は一部を削除すること
2. 個人識別符号の全部を削除すること
3. 個人情報と他の情報とを連結する符号を削除すること
4. 特異な記述等を削除すること
5. 上記のほか、個人情報とデータベース内の他の個人情報との差異等の性質を勘案し、適切な措置を講ずること

この法律により、匿名加工情報は、一定のルールの下で、本人同意を得ることなく、事業者間におけるデータ取引やデータ連携などの利活用も可能となりました。