要配慮個人情報の
具体的範囲

要配慮個人情報とは、本人に対する不当な差別、偏見その他の不利益が生じないよう、取扱いに特に配慮を要する記述等が含まれる個人情報をいいます。単に「知られたくない情報」や「センシティブそうな情報」を広く指す言葉ではなく、個人情報保護法、同施行令、同施行規則、個人情報保護委員会のガイドラインやQ&Aに沿って判断します。

このページでは、まず対象情報が個人情報に当たるかを確認し、そのうえで11類型のどれに該当するかを見ます。さらに、要配慮個人情報に該当しない情報でも、差別、不利益取扱い、労務紛争、プライバシー侵害、業法違反、ハラスメント、AI利用上の倫理リスクにつながる場合は、要配慮個人情報に準じた管理を検討します。

次の一覧は、要配慮個人情報の具体的範囲を判断するときに最初に分ける3つの視点を表しています。読者にとって重要なのは、法令上の該当性だけで終わらせず、同意・提供・漏えい対応と、実務上の本人影響を同時に読み取ることです。

次の表は、個人情報、個人データ、保有個人データ、要配慮個人情報を分けて見るための比較です。企業内の台帳やシステムでどの義務が問題になるかを把握するために、概念の違いを先に読み取ることが重要です。

要配慮個人情報に該当しないことがある情報を知ると、過剰分類と見落としの両方を減らせます。次の比較表は、どの情報が直ちには該当しにくく、どの文脈で高リスク化するかを表しています。読者は「非該当なら自由に使える」という意味ではなく、追加の文脈で再判定が必要になる点を読み取ることが重要です。

次の一覧は、法令上の該当性とは別に、実務上の本人影響が大きくなりやすい場面を表しています。読者は、どの場面で高リスク化するかを読み取り、データ棚卸しや利用目的の見直しに反映します。

要配慮個人情報を含む個人データは、通常の個人データより第三者提供の設計でつまずきやすい領域です。次の表は、提供・連携の形ごとに何が問題になるかを表しています。読者は、単に契約書名を見るのではなく、提供先が自社目的で利用するか、本人が知り得る状態に置かれているか、オプトアウト提供を使っていないかを読み取ります。

委託契約では、要配慮個人情報を扱う範囲を具体的に決める必要があります。次の一覧は、契約・運用で何を表すか、なぜ重要か、どこを読み取るかをまとめたものです。

要配慮個人情報は、法務部だけでなく、事業部門、人事、情報システム、内部監査、カスタマーサポート、M&A担当、研究開発部門に混入します。次の一覧は、各業務で何が問題になりやすいか、なぜ重要か、どの管理視点を読み取るべきかをまとめたものです。

次の表は、自由記載欄、採用調査、防犯カメラ、M&A資料のように、要配慮個人情報が意図せず混入しやすい場面を表しています。読者は、入力前・取得時・保存時・共有時のどこに統制を置くかを読み取ります。

顔写真は要配慮個人情報ですか

一般的には、顔写真は特定の個人を識別できる場合に個人情報となりますが、顔写真であることだけで当然に要配慮個人情報になるわけではないと整理されています。ただし、顔写真から人種、障害、健康状態等を推知できる場合や、そのようなラベルを付して管理する場合は、高リスク情報として扱う必要があります。具体的な取扱いは、利用目的、処理内容、本人説明、第三者提供の有無を確認したうえで専門家へ相談する必要があります。

指紋・顔認証データは要配慮個人情報ですか

一般的には、指紋や顔認証用特徴量は個人識別符号に該当し得ますが、それだけで当然に要配慮個人情報となるわけではありません。ただし、生体認証情報は漏えい時の回復が難しく、本人への影響が大きいため、要配慮個人情報に準じた管理が求められる可能性があります。具体的には、目的、保存期間、認証以外の利用、外部提供、改正動向を確認する必要があります。

国籍は要配慮個人情報ですか

一般的には、単なる国籍や外国人という情報は、それだけで直ちに人種に含まれないと整理されています。ただし、国籍、氏名、出生地、言語、宗教、写真などを組み合わせ、民族的出身を分類する場合は高リスクです。採用、与信、広告配信などで利用する場合は、差別的取扱いを避けるため専門家に確認する必要があります。

病院に行った事実だけでも要配慮個人情報ですか

一般的には、健康診断を受けた事実だけでは健康診断等の結果には該当しない場合があります。一方で、病院等を受診した事実や薬局で調剤を受けた事実は、診療又は調剤が行われたこととして要配慮個人情報に該当する可能性があります。位置情報、予約情報、診療情報、薬剤情報との結び付きによって結論が変わるため、具体的には資料を整理して確認する必要があります。

宗教本や政治雑誌の購入履歴は要配慮個人情報ですか

一般的には、宗教関連書籍の購入履歴や特定政党の機関紙購読情報だけでは、本人の信条そのものか、情報収集や教養目的か判断しにくいため、直ちに要配慮個人情報とはされない場合があります。ただし、企業がその履歴から「特定宗教の信者」「特定政治思想」といった分類を作成して個人に紐付ける場合は、信条に関する情報として扱われる可能性があります。

妊娠・出産に関する情報は要配慮個人情報ですか

一般的には、妊娠・出産に関する情報は、個人情報保護法上の要配慮個人情報の列挙に明示されているわけではありません。ただし、医療機関の受診、診療、検査結果、医師等の指導と結び付く場合は、要配慮個人情報に該当する可能性があります。雇用、保険、広告配信、与信で不利益につながりやすいため、具体的には慎重な管理が必要です。

性的指向・性自認や労働組合加入情報は要配慮個人情報ですか

一般的には、性的指向・性自認や労働組合加入情報は、要配慮個人情報の列挙に明示されていません。ただし、本人への差別、偏見、不利益、報復につながる典型的な高リスク情報です。医療情報、信条、社会的身分等と結び付く場合もあるため、具体的な利用目的、共有範囲、同意、アクセス制御を確認する必要があります。

健康アプリの歩数・睡眠・体重は要配慮個人情報ですか

一般的には、健康診断、診療、医師等の指導とは関係なく本人が入力又は端末が計測した歩数、睡眠、体重等は、直ちに要配慮個人情報に該当しない場合があります。ただし、疾病リスクを推定したり、診療・指導情報、健康診断結果、保険料、採用、与信に結び付けたりする場合は、高リスク情報として慎重に扱う必要があります。

SNSに本人が病歴を書いている場合は自由に取得できますか

一般的には、本人などにより公開されている要配慮個人情報は、一定の場合に本人同意なく取得できる例外に該当する可能性があります。ただし、公開情報だからといって、無制限に収集、DB化、プロファイリング、第三者提供ができるわけではありません。誰が公開した情報か、取得後の目的、本人の合理的期待、不適正利用の有無を確認する必要があります。

防犯カメラに車椅子利用者や万引きらしき映像が映った場合はどう扱いますか

一般的には、外形上明らかな要配慮個人情報を目視又は撮影により取得する場合、同意不要の例外に該当し得ます。また、防犯カメラに犯罪行為らしき映像が映っただけでは、犯罪の経歴又は刑事事件手続に直ちに該当しない場合があります。ただし、属性分析、広告配信、警察提出、被害者対応、社内処分と結び付く場合は再判定が必要です。

遺伝子検査結果は常に要配慮個人情報ですか

一般的には、医師等により疾病の予防及び早期発見のために行われた遺伝子検査の結果は、要配慮個人情報に該当する可能性があります。医療機関を介さない消費者直販型検査では、実施主体や目的によって判断が分かれます。疾病リスク、治療薬選択、将来発症可能性を示す情報は差別・偏見につながり得るため、具体的には厳格な管理が必要です。

従業員が自ら病歴を書いた場合も同意が必要ですか

一般的には、本人が自ら病歴を記載して提出した場合、取得についての同意があったと解される場面はあり得ます。ただし、企業が自由記載欄を通じて不必要に病歴等を集める設計は避ける必要があります。また、取得後の利用目的、共有範囲、保存期間、第三者提供は別途制限されるため、具体的には社内規程と同意文言を確認する必要があります。

漏えい人数が少なければ報告不要ですか

一般的には、要配慮個人情報を含む個人データの漏えい等又はそのおそれは、人数が少なくても報告対象になり得ます。1000人超の基準とは別に、健康診断結果、診療情報、障害情報、犯罪被害情報などが含まれているかを確認する必要があります。具体的な報告要否は、事実関係を整理して専門家へ相談する必要があります。