個人データと個人情報の
違いと該当性

個人情報とは何か

個人情報は、生存する個人に関する情報で、特定の個人を識別できるもの、または個人識別符号が含まれるものです。氏名、生年月日、住所、性別、顔画像のような典型例だけでなく、身体、財産、職種、肩書、評価、判断などを表す情報も、個人に関する情報に含まれ得ます。

個人情報は秘密情報に限られません。公開されている役員略歴、ウェブサイト上の講演者プロフィール、新聞記事に掲載された氏名、SNSで本人が公表している肩書なども、特定の個人を識別できる限り、個人情報になり得ます。

死者そのものに関する情報は、原則として個人情報ではないと整理されます。ただし、死者に関する情報が同時に遺族その他の生存する個人に関する情報でもある場合には、その生存する個人との関係で個人情報に該当し得ます。外国人の情報も、国内企業が取り扱う場合には日本法上の個人情報該当性が問題になります。

次の比較は、法人情報と個人情報の境界で迷いやすい情報を表しています。BtoBの現場では法人情報と担当者情報が混在しやすいため、どの情報が自然人に結び付くかを読み取ることが重要です。

識別可能性と容易照合性

個人情報該当性の中心は、特定の個人を識別できるかどうかです。本人の氏名、顔画像、本人が判別できる映像、氏名を含む音声録音、個人を特定できるメールアドレスなどは、情報単体で識別できる典型例です。

また、情報単体では氏名が分からなくても、他の情報と容易に照合でき、それにより特定個人を識別できる場合があります。たとえば、顧客IDだけでは本人が分からなくても、同じ会社内で顧客IDと氏名の対応表を容易に参照できるなら、その顧客IDに紐づく購買履歴や問い合わせ履歴は個人情報に該当し得ます。

• 照合先データを同一事業者が保有しているかを確認します。
• 照合権限を有する部署・担当者が存在するかを確認します。
• 通常業務として照合できるかを確認します。
• 照合に特別な解析、外部データ購入、違法取得、過大な費用・時間が必要かを確認します。
• アクセス制御、分離管理、委託契約、社内規程により照合が実質的に制限されているかを確認します。

個人識別符号

個人識別符号は、情報単体から特定の個人を識別できるものとして政令で定められた文字、番号、記号その他の符号です。DNA塩基配列、顔、指紋、虹彩、声紋、歩行態様、手指静脈、掌紋などの身体特徴を電子計算機用に変換した符号のうち、一定基準を満たすものなどが問題になります。

顔認証テンプレート、指紋認証テンプレート、声紋認証データなどは、画像や音声そのものとは別に個人識別符号該当性を検討する必要があります。従業員の入退室管理、勤怠管理、PCログイン認証、店舗の顔識別カメラ、金融・医療・ヘルスケアサービスでは、高度な管理が必要になりやすい領域です。

個人情報データベース等

個人情報データベース等は、個人情報を含む情報の集合物で、特定の個人情報をコンピュータで検索できるよう体系的に構成したもの、または紙であっても一定の規則に従って整理され、目次、索引、符号などにより容易に検索できるものです。電子メールソフトのアドレス帳、ユーザーIDで整理されたログ情報、名刺情報を表計算ソフトに入力・整理したもの、登録票を五十音順インデックスで整理したものなどが典型です。

ここでのポイントは、大量にあることではなく、検索可能性と体系性です。10件でも検索可能なCRMなら個人情報データベース等になり得ます。一方、1万件のアンケートはがきでも、氏名・住所等で分類整理されず容易に検索できない状態なら、直ちに個人情報データベース等とはいえない場合があります。

個人データと保有個人データ

個人データは、個人情報データベース等を構成する個人情報です。個人情報 + 個人情報データベース等を構成している情報 = 個人データ、という式で整理できます。紙の申込書が未整理のまま保管されている段階では個人データではない可能性がありますが、顧客管理システムに入力した時点や、五十音順索引付きの紙台帳に整理した時点で個人データになる可能性があります。

次の比較は、入力前帳票、システム入力後、出力物、持出し媒体、紙台帳の違いを表しています。漏えい対応では形式的な媒体よりも、検索可能な集合物を構成するか、またはデータ化予定があるかが重要です。〇と△の差から、管理水準を下げてよい場面ではなく、早い段階から個人データ相当の管理を検討すべき場面を読み取ってください。

保有個人データは、個人データのうち、個人情報取扱事業者が開示、内容の訂正・追加・削除、利用停止、消去、第三者提供停止などに応じることのできる権限を有するものです。個人情報、個人データ、保有個人データの関係は、個人情報 ⊃ 個人データ ⊃ 保有個人データです。

委託先が個人データを取り扱っていても、開示・訂正・利用停止等に応じる権限を持たない場合、委託先にとって保有個人データに該当しないことがあります。一方、委託元企業は本人対応を行う権限を有することが多く、保有個人データとしての公表事項、本人確認、請求受付、検索・抽出、第三者提供記録の開示、不開示時の理由説明、期限管理などを整備する必要があります。

該当性判断では、データベース全体ではなく、項目、レコード、ファイル、ログ、出力帳票、バックアップ、添付ファイル、APIレスポンス、AI学習データなどの情報単位で検討します。CRMであれば、顧客ID、氏名、メールアドレス、電話番号、会社名、部署・役職、商談履歴、購買履歴、契約書PDF、通話録音、サポートチケット、アクセスログなどを分けて見る必要があります。

次の手順図は、企業内で該当性を判断する順番を表しています。なぜ重要かというと、前の段階を飛ばして外部提供や漏えい報告だけを検討すると、個人関連情報や保有個人データの論点を見落としやすいためです。上から順に進み、最後に特別類型と業法上の規律を確認する流れを読み取ってください。

次の一覧は、識別可能性を判断するときによく出る情報と判断の方向性を表しています。データ項目ごとの性質が違うため、同じシステム内でも一律に扱わないことが重要です。氏名の有無だけでなく、対応表やログイン情報と照合できるかを読み取ってください。

検索可能な体系的集合物を構成しているかは、CRM、SFA、MAツール、名刺管理ツール、EC会員DB、アプリ会員DB、予約管理DB、採用管理システム、従業員台帳、給与計算システム、問い合わせ管理表、クレーム台帳、事故報告台帳、株主名簿、研修受講者リスト、紙の五十音順ファイルなどを確認します。

保有個人データかどうかは、会社が本人対応窓口を持っているか、開示・訂正・削除・停止を決定できるか、委託元・委託先のどちらが本人対応権限を持つか、法令保存義務があるか、存否を明らかにすることで本人・第三者の生命身体財産や公共安全などに支障が生じる例外に当たらないかを確認します。

次の表は、個人情報の段階で問題になる主な義務を表しています。ここでは、データベース化の前でも、取得と利用目的に関する規律が出発点になる点が重要です。各義務が、取得時の表示、社内利用、要配慮個人情報の取得可否にどう関わるかを読み取ってください。

次の表は、個人データになると加わる主な義務を表しています。個人データ該当性が重要なのは、管理措置、監督、報告、提供、記録といった運用負荷が一気に増えるためです。どの義務がシステム管理、委託先管理、インシデント対応に直結するかを読み取ってください。

次の表は、保有個人データになると加わる本人請求対応を表しています。保有個人データの判断を見落とすと、プライバシーポリシー、本人確認、検索・抽出、回答期限、理由説明が不足します。本人対応に必要な窓口と裏側のデータ検索体制を読み取ってください。

漏えい等対応では、個人データかどうかが重大な分岐になります。もっとも、取得し、または取得しようとしている個人情報で、個人データとして取り扱われる予定のものが含まれる場面にも注意が必要です。問い合わせフォーム、申込フォーム、資料請求フォーム、採用応募フォームのように送信後にDB登録される予定の情報は、入力段階でも実質的な保護対象として扱うことが安全です。

次の時系列は、漏えい等事案が発覚した後に確認する順番を表しています。なぜ重要かというと、初動で被害拡大防止、影響範囲、報告対象該当性を取り違えると、速報・確報・本人通知・委託先対応が遅れるためです。期間表示から、3〜5日、30日、60日の目安を読み取ってください。

次の表は、事故類型ごとに個人情報・個人データ該当性と報告・通知の検討ポイントを表しています。媒体や件名だけで結論を決めず、データ化予定、検索可能性、要配慮性、権利利益侵害リスクを見ることが重要です。〇、△、×の違いから、形式的分類だけでなく実質的なリスクを読み取ってください。

漏えいは、個人データが外部に流出することです。誤送付、誤送信、設定ミスによるインターネット上の閲覧可能状態、盗難、不正アクセスによる窃取などが典型です。毀損は、個人データの内容が意図しない形で変更されることや、内容を保ちつつ利用不能な状態になることをいいます。ランサムウェアにより個人データが暗号化され復元不能になった場合などが問題になります。

次の表は、データマッピングや新規サービス審査で使う分類項目を表しています。なぜ重要かというと、個人情報該当性だけでなく、保有個人データ、要配慮性、外部提供、保存期間、漏えい時の報告可能性まで一つの記録で追えるためです。空欄を埋めることで、後続の契約・規程・システム権限に反映すべき点を読み取ってください。

新規サービス審査での質問

1. 誰の情報を取得するのかを確認します。
2. どの項目を取得するのかを確認します。
3. 取得時に本人へ何を表示するのかを確認します。
4. 利用目的は本人が合理的に想定できる程度に具体的かを確認します。
5. 取得後、どのシステムに保存されるのかを確認します。
6. どの項目が検索可能になるのかを確認します。
7. 外部ベンダー、クラウド、広告事業者、分析事業者に提供されるかを確認します。
8. 提供は委託、第三者提供、共同利用、個人関連情報提供のどれかを確認します。
9. 海外保管、海外サポート、海外再委託があるかを確認します。
10. 要配慮個人情報や子どもの情報を含むかを確認します。
11. 本人請求が来た場合、どの部署が何日で検索・回答するかを確認します。
12. インシデント発生時、誰が3〜5日以内の速報判断を行うかを確認します。

個人データ管理の出発点は、データマッピングです。どの部署が、どの個人情報を、どの目的で、どこから取得し、どこに保存し、誰に提供し、いつ削除するかを一覧化します。法務判断は、台帳、契約、規程、システム権限、監査証跡に反映されて初めて実務上の意味を持ちます。

次の表は、個人データ管理で最低限整備したい台帳を表しています。なぜ重要かというと、個人情報の取得から委託、第三者提供、外国移転、インシデント、本人請求までを分断せずに追跡できるためです。どの台帳がどのリスクを管理するかを読み取ってください。

次の一覧は、三線管理における役割分担を表しています。個人データは法務だけでもITだけでも管理できないため、事業部、管理部門、内部監査がそれぞれ何を見るかを明確にすることが重要です。各線が担う日常管理、規程・教育、独立検証の違いを読み取ってください。

規程体系

• 個人情報保護方針
• プライバシーポリシー
• 個人情報取扱規程
• 安全管理措置規程
• 委託先管理規程
• 第三者提供・共同利用管理規程
• 外国移転管理規程
• 漏えい等対応規程
• 本人請求対応規程
• データ削除・保存期間規程
• AI・データ利活用規程
• Cookie・広告ID利用規程
• 従業員情報管理規程

次の表は、個人データと個人情報の違いと該当性を扱うページや社内資料で確認したい品質観点を表しています。なぜ重要かというと、定義だけでなく、判断手順、具体例、義務差分、参考資料、免責の観点をそろえることで、読者が実務に落とし込みやすくなるためです。各項目から、不足しやすい説明を読み取ってください。

個人データと個人情報の違いと該当性を一文でまとめると、個人情報は識別可能な生存個人に関する情報で、個人データはその個人情報が検索可能な個人情報データベース等を構成した段階の情報です。

この違いは、定義論にとどまりません。個人データになると、安全管理措置、従業者監督、委託先監督、漏えい等報告、第三者提供、外国移転、記録義務が本格的に発生します。保有個人データになれば、本人請求対応が必要になります。要配慮個人情報、個人関連情報、仮名加工情報、匿名加工情報、マイナンバー、業種別規制が絡む場合には、さらに精密な判断が求められます。

次の強調事項は、企業法務で判断を運用に移すための基本原則を表しています。迷ったときの方向性を確認し、データベース性、保有個人データ、外部共有、台帳・契約・権限への反映までつなげることが重要です。

1. 迷う場合は、個人情報として扱う前提で根拠を記録します。
2. 個人情報と判断したら、次に個人データかを判断します。
3. 個人データと判断したら、保有個人データか、要配慮個人情報を含むかを確認します。
4. 委託、共同利用、第三者提供、外国移転を分類します。
5. 台帳、契約、規程、システム権限、監査証跡に落とし込みます。

公的資料

• e-Gov法令検索「個人情報の保護に関する法律」
• 個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」
• 個人情報保護委員会FAQ「『個人情報』と『個人データ』の違いは何か。」
• 個人情報保護委員会「『個人情報の保護に関する法律等の一部を改正する法律案』の閣議決定について」
• 内閣法制局「個人情報の保護に関する法律等の一部を改正する法律案」

主な確認対象

• 個人情報、個人識別符号、要配慮個人情報、個人情報データベース等、個人データ、保有個人データ、個人関連情報、仮名加工情報、匿名加工情報に関する定義
• 漏えい等報告、本人通知、速報・確報、安全管理措置、従業者監督、委託先監督、第三者提供、共同利用、事業承継に関する説明
• 個人情報と個人データの違い、個人データ・保有個人データになるほど遵守事項が増えることに関するFAQ