日本の個人情報保護体系

まずは、個人情報保護法を理解することから。個人情報保護体制の確立には仕組みの理解が必要です。

OECD8原則

個人情報保護の考え方の源泉は1980年にOECDが定めた“OECD個人情報保護 8原則”にあります。この8原則を基本として、日本やその他各国の法律等が作られています。

個人情報保護法

個人情報保護法には個人情報保護に関する規律が「匿名加工情報取扱事業者の義務」として第4章第15条から第35条で述べられています。また第36条から第39条には「匿名加工情報の取扱」について述べられています。
個人情報保護法の具体的な遵守方法については個人情報保護法に付随する「政令」、「基本方針」、「ガイドライン」に具体的に述べられています。つまり、個人情報保護法を理解し、遵守するためには、個人情報保護法のほか、政令、基本方針、ガイドライン等を理解する必要があります。

個人情報保護法の概要

第1章   2条 定義 *
第4章 15条 利用目的の特定 *
16条 利用目的による制限
17条 適正な取得 *
18条 取得に際しての利用目的の通知等 *
19条 データ内容の正確性の確保等 *
20条 安全管理措置
21条 従業者の監督
22条 委託先の監督
23条 第三者提供の制限 *
24条 外国にある第三者への提供の制限 **
25条 第三者提供に係る記録の作成等 **
26条 第三者提供を受ける際の確認等 **
27条 保有個人データに関する事項の公表等 *
28条 開示 *
29条 訂正・追加・部分削除 *
30条 利用停止・全体削除 *
31条 理由の説明 *
32条 開示等に応じる手続き *
33条 手数料 *
34条 （28条,29条,30条に関する）事前の請求 **
35条 苦情対応
36条 匿名加工情報の作成等 **
37条 匿名加工情報の提供 **
38条 匿名加工情報の識別行為の禁止 **
39条 匿名加工情報の安全管理措置等 **
40条～46条 監督（個人情報保護委員会・事業所管大臣） **
47条～58条 民間団体による個人情報の保護の推進 *
第5章  59条～74条 個人情報保護委員会 **
第6章  75条～81条 雑則 *
第7章  82条～88条 罰則 *
附則 *

凡例
* 改正個人情報保護法で追加された条文
** 改正された条文

JISQ15001

JISQ15001 日本における個人情報保護マネジメントシステムの構築維持のベースになっていると同時に、JISの認証基準でもあります。JISQ15001では、トップダウンで個人情報保護方針を定め、Plan（計画）、Do（実施・運用）、Check（点検・監査）、Action（事業者の代表者による見直し・改善）するマネジメントサイクルを回すことで、管理レベルをスパイラル状に向上させていく仕組みです。

第三者認証

個人情報保護や情報セキュリティが適正、適切に実施されている証として、「認証マーク」が付与される制度があります。「JISQ15001」「TRUSTe」「ISMS」などがよく知られています。
個人情報保護を適正に実施できる体制を構築していることを、お客様にアピールするためには第三者認証の取得が有効です。

対象となる企業等

個人情報保護法の対象となるのは、個人情報取扱事業者と匿名加工情報取扱事業者です。
ここでは、個人情報取扱事業者と匿名加工情報取扱事業者を含む個人情報保護法第2条の定義を説明しています。

個人情報取扱事業者の定義

「個人情報取扱事業者」とは、個人情報データベース等を事業の用に供している者のうち、国の機関、地方公共団体、独立行政法人、地方独立行政法人を除いた者をいいます。

ここでいう「事業の用に供している」の「事業」とは、一定の目的の下で継続して遂行される同種の活動のことで、社会通念上事業と認められるものをいい、営利・非営利の別は問いません。また、個人情報データベース等を事業の用に供している者であれば、データベースに含まれる特定の個人の数の多寡にかかわらず個人情報取扱事業者に該当します。さらに、法人格がなく権利能力のない社団（任意団体）又は個人であっても、個人情報データベース等を事業の用に供している場合は個人情報取扱事業者に該当します。

匿名加工情報取扱事業者の定義

「匿名加工情報取扱事業者」とは、「匿名加工情報データベース」を事業の用に供している者のうち、国の機関、地方公共団体、独立行政法人、地方独立行政法人を除いた者をいいます。

個人情報の定義

個人の氏名、住所、生年月日、電話番号はもちろん個人情報ですが、防犯カメラに記録された情報や音声であっても特定の個人を識別できるものであれば個人情報となります。
また、数字と記号からなるメールアドレスやIDなど、それ自体では本人を特定できなくても、他の情報と照合することによって容易に特定の個人を識別することができれば個人情報となります。例えば、第三者にとっては個人を特定できないIDであっても、社内にIDと住所・氏名が対応づけられた情報がある場合、そのIDは個人情報となります。同様に Cookie等のWeb-beacon についても、個人情報に絡めて収集し、DB化すれば個人情報となるので注意が必要です。

また、「個人識別符号が含まれるもの」も個人情報です。
「個人識別符号」とは、当該情報単体で特定の個人を識別できるものをいい、文字、番号、記号その他の符号など以下に掲げるものなどが該当します。

1. )身体の特徴のいずれかを電子計算機の用に供するために変換した文字、番号、記号その他の符号イ 細胞から採取されたデオキシリボ核酸（別名DNA）を構成する塩基の配列
   ロ 顔の骨格、皮膚の色、目、鼻、口その他の顔の部位の位置、形状による容貌
   ハ 虹彩の表面の起伏により形成される線状の模様
   ニ 声の際の声帯の振動 （声紋）
   ホ 歩行の際の姿勢及び両腕の動作、歩幅その他の歩行の態様
   ヘ 手のひら又は手の甲若しくは指の皮下の静脈の形状
   ト 指紋又は掌紋
2. )旅券の番号
3. )国民年金番号
4. )運転免許証の番号
5. )住民票コード
6. )個人番号（マイナンバー）
7. )次の番号
   イ 細胞から採取されたデオキシリボ核酸（別名DNA）を構成する塩基の配列
   ロ 顔の骨格、皮膚の色、目、鼻、口その他の顔の部位の位置、形状による容貌
   ハ 虹彩の表面の起伏により形成される線状の模様

【注意】
クレジットカード番号や携帯・スマートフォン番号は一意に個人を識別するものではないので個人識別符号には含まれません。

要配慮個人情報の定義

「要配慮個人情報」とは、不当な差別や偏見その他の不利益が生じないようにその取扱いに特に配慮を要するものとして、次の（1）から（11）までの記述等が含まれる個人情報をいいます。
要配慮個人情報の取得や第三者提供には、原則として本人の同意が必要であり、法第23条第2項の規定による第三者提供（オプトアウトによる第三者提供）は認められていないので、注意が必要です。
なお、次に掲げる情報を推知させる情報にすぎないもの（例：宗教に関する書籍の購買や貸出しに係る情報等）は、要配慮個人情報には含まれません。

1. )人種
   人種、世系又は民族的若しくは種族的出身を広く意味する。なお、単純な国籍や「外国人」という情報は法的地位であり、それだけでは人種には含まない。また、肌の色は、人種を推知させる情報にすぎないため、人種には含まない。
2. )信条
   個人の基本的なものの見方、考え方を意味し、思想と信仰の双方を含むものである。
3. )社会的身分
   ある個人にその境遇として固着していて、一生の間、自らの力によって容易にそれから簡単に脱し得ないような地位を意味し、単なる職業的地位や学歴は含まない。
4. )病歴
   病気に罹患した経歴を意味するもので、特定の病歴を示した部分（例：特定の個人ががんに罹患している、統合失調症を患っている等）が該当する。
5. )犯罪の経歴
   有罪の判決を受けこれが確定した事実が該当する。
6. )犯罪により害を被った事実
   身体的被害、精神的被害及び金銭的被害の別を問わず、犯罪の被害を受けた事実を意味する。
7. )身体障害、知的障害、精神障害その他の個人情報保護委員会規則で定める心身の機能の障害があること
8. )本人に対して医師その他医療に関連する職務に従事する者（医師等）により行われた疾病の予防及び早期発見のための健康診断その他の検査の結果
9. )健康診断等の結果に基づき、又は疾病、負傷その他の心身の変化を理由として、本人に対して医師等により心身の状態の改善のための指導又は診療若しくは調剤が行われたこと
10. )本人を被疑者又は被告人として、逮捕、捜索、差押え、勾留、公訴の提起その他の刑事事件に関する手続が行われたこと
11. )本人を少年法第3条第1項に規定する少年又はその疑いのある者として、調査、観護の措置、審判、保護処分その他の少年の保護事件に関する手続が行われたこと

個人情報データベースの定義

「個人情報データベース等」とは、特定の個人情報を検索することができるように体系的に構成した、個人情報を含む情報の集合物をいいます。また、コンピュータを用いていない場合であっても、紙面で処理した個人情報を一定の規則（例えば、五十音順等）に従って整理・分類し、特定の個人情報を容易に検索することができるよう、目次、索引、符号等を付し、他人によっても容易に検索可能な状態に置いているものも該当します。
ただし、次の(1)から(3)までの、いずれにも該当するものは、利用方法からみて個人の権利利益を害するおそれが少ないため、個人情報データベース等には該当しません。

1. )不特定かつ多数の者に販売することを目的として発行されたものであって、かつ、その発行が法又は法に基づく命令の規定に違反して行われたものでないこと
2. )不特定かつ多数の者により随時に購入することができ、又はできたものであること
3. )生存する個人に関する他の情報を加えることなくその本来の用途に供しているものであること

個人データの定義

「個人データ」とは、個人情報取扱事業者が管理する「個人情報データベース等」を構成する個人情報をいいます。
ただし、次の(1)から(3)までの、いずれにも該当するものは、利用方法からみて個人の権利利益を害するおそれが少ないため、個人情報データベース等には該当しませんから、それらの中にあるデータも個人データに該当しません。

1. )不特定かつ多数の者に販売することを目的として発行されたものであって、かつ、その発行が法又は法に基づく命令の規定に違反して行われたものでないこと
2. )不特定かつ多数の者により随時に購入することができ、又はできたものであること
3. )生存する個人に関する他の情報を加えることなくその本来の用途に供しているものであること

保有個人データの定義

「保有個人データ」とは、個人情報取扱事業者が、本人又はその代理人から請求される開示、内容の訂正、追加又は削除、利用の停止、消去及び第三者への提供の停止の全てに応じることができる権限を有する「個人データ」のことをいいます。つまり、本人は保有個人データに関して、開示、内容の訂正、追加又は削除、利用の停止、消去及び第三者への提供の停止の請求をすることができるのです。
ただし、その「個人データ」のうち、次の(1)～(4)に掲げるもの又は6か月以内に消去する（更新することは除く。）こととなるものは、「保有個人データ」ではありません。

1. )当該個人データの存否が明らかになることにより、本人又は第三者の生命、身体又は財産に危害が及ぶおそれがあるもの。
   【事例】家庭内暴力、児童虐待の被害者の支援団体が保有している、加害者（配偶者又は親権者）及び被害者（配偶者又は子）を本人とする個人データ
2. )当該個人データの存否が明らかになることにより、違法又は不当な行為を助長し、又は誘発するおそれがあるもの。
   【事例1】暴力団等の反社会的勢力による不当要求の被害等を防止するために事業者が保有している、当該反社会的勢力に該当する人物を本人とする個人データ
   【事例2】不審者や悪質なクレーマー等による不当要求の被害を防止するために事業者が保有している、当該行為を行った者を本人とする個人データ
3. )当該個人データの存否が明らかになることにより、国の安全が害されるおそれ、他国若しくは国際機関との信頼関係が損なわれるおそれ又は他国若しくは国際機関との交渉上不利益を被るおそれがあるもの。
   【事例1】製造業者、情報サービス事業者等が保有している、防衛に関連する兵器・設備・機器・ソフトウェア等の設計又は開発の担当者名が記録された、当該担当者を本人とする個人データ
   【事例2】要人の訪問先やその警備会社が保有している、当該要人を本人とする行動予定等の個人データ
4. )当該個人データの存否が明らかになることにより、犯罪の予防、鎮圧又は捜査その他の公共の安全と秩序の維持に支障が及ぶおそれがあるもの。
   【事例1】警察からの捜査関係事項照会や捜索差押令状の対象となった、事業者が保有している捜査対象者又は被疑者を本人とする個人データ
   【事例2】犯罪収益との関係が疑わしい取引（以下「疑わしい取引」という。）の届出の対象情報に含まれる個人データ
   【事例3】振り込め詐欺に利用された口座に関する情報に含まれる個人データ

匿名加工情報の定義

「匿名加工情報」とは、次の(1)、(2)に掲げる個人情報の区分に応じて、特定の個人を識別することができないように個人情報を加工して得られる個人に関する情報であって、当該個人情報を復元することができないようにしたものをいいます。

1. )「個人情報」の匿名加工
   当該個人情報に含まれる記述等の一部を削除すること（当該一部の記述等を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む。）
2. )「個人識別符号」に係る匿名加工
   当該個人情報に含まれる個人識別符号の全部を削除すること（当該個人識別符号を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む。）

個人情報取扱事業者の義務

法は、「個人情報」、「個人データ」、「保有個人データ」、「要配慮個人情報」、「匿名加工情報」等の語を使い分けており、
個人情報取扱事業者等に課される義務は次の表のようにそれぞれ異なるので、注意を要します。