個人情報保護法

個人情報保護法は、企業が顧客や従業員の情報をどのように扱うべきかを規定しています。実は、この法律は企業の利便性と個人のプライバシー保護のバランスを取るための仕組みです。このページでは、定義から始まり、なぜ取扱事業者に義務が課されるのか、2022年改正で何が変わったのかを、試験に必要な観点から学びます。

デジタル化が進む現代では、企業や公的機関が膨大な個人情報を保有しています。顧客の名前、住所、購買履歴、クレジットカード情報、健康診断結果、勤務履歴など、本人の生活全般に関わる極めてセンシティブな情報が、データベースに格納されています。

これらの情報が適切に管理されなければ、深刻な被害が発生します。顧客情報が漏えいすれば、なりすまし詐欺や不正融資が起こります。医療情報が流出すれば、本人が就職や結婚で差別される可能性があります。犯罪歴が知られれば、社会復帰が困難になります。つまり、個人情報は単なる「データ」ではなく、本人の人生を左右する価値を持つものです。

個人情報保護法は、この課題に対応するために制定されました。法律の基本的な構造は、以下のような「バランス」を取るものです。

この法律がなければ、企業は個人情報を野放図に利用できてしまい、本人は自分の情報を守る手段がありません。

個人情報保護法は、一言で「個人情報」と言っても、段階的に異なる保護レベルを適用します。これは、すべての情報が同じ危険度・管理負荷を持つわけではないからです。たとえば、ネット上に公開されている「著名人の名前」と、銀行に預けた「預金額」では、漏えいした場合の被害が全く異なります。そこで、法律は定義を段階化し、より危険な情報により強い保護を適用しているのです。

定義：生存する個人に関する情報で、その個人を識別できるもの（直接識別・間接識別含む）

個人情報の最も基本的な定義は「その情報から個人を特定できるか」という基準です。

直接識別の例：名前や顔写真があれば、その人が誰であるか一目瞭然です。「山田太郎」という名前が出てくれば、多くの場合はその人を特定できます。

間接識別の例：一つの情報では特定できなくても、複数の情報を組み合わせて特定できる場合があります。たとえば、「東京都渋谷区に住む30代男性で、営業職、未婚」という情報の組み合わせは、その範囲内では特定の個人を識別できるかもしれません。つまり、個人情報は「単一の情報」ではなく「複合情報」も含むのです。

反対に個人情報でない例：「男性」「営業職」「30代」といった属性だけでは、数百万人が該当するため、個人を識別できません。これらは「統計情報」であり、個人情報ではありません。

定義：個人情報データベース等を構成する個人情報（事業者が体系的に整理・管理するもの）

事業者が個人情報を適切に保護するには、その情報がどこにあり、誰が管理しているかが重要です。そこで「体系的に管理されている」かどうかが、法的保護が強化されるターニングポイントになります。

個人データの例：

個人データでない例：

重要なのは、個人データになると「安全管理措置」「本人からの開示請求への対応」など、より厳格な義務が発生するということです。

定義：個人データのうち、本人からの開示・訂正・利用停止等の請求対象となるもの

すべての個人データが「本人対応の対象」とは限りません。企業が「これは一度だけ利用する情報」と判断すれば、保有個人データには該当しない可能性があります。

たとえば、あるイベントの参加者一覧が、イベント終了後に全て削除される場合、それは「個人データであったが保有個人データではない」と解釈される場合があります。反対に、顧客との継続的な取引で蓄積された顧客データは、明らかに保有個人データです。

保有個人データであれば、本人からの「開示してください」「この情報を訂正してください」といった請求に、企業は遅滞なく応じなければなりません。

定義：本人に対して不当な差別や偏見を生じさせる恐れがある個人情報

人種、信条、社会的身分、病歴、犯罪歴、犯罪被害歴などは、一般的な個人情報とは異なる特殊性を持っています。これらの情報が流出すると、本人が著しい不利益を被る可能性があります。

たとえば：

そのため、要配慮個人情報には、その他の個人情報にはない特別ルールが適用されます。最も重要なのが「取得時に本人の明示的な同意が必須」という点です。通常の個人情報は「利用規約に同意した」という一般的な同意で足りますが、要配慮個人情報は「このセンシティブ情報を取得してもいいか」と個別に確認を取らなければなりません。

定義の4段階の関係図

個人情報を保有する企業には、法律で5つの重要な義務が課されています。これらの義務は、本人の信頼を守るための「最低限の基準」です。もし企業がこれらの義務を果たさなければ、本人は自分の情報を企業に預けることができず、デジタル社会における経済活動が機能しません。

目的：本人が「自分の情報がどのために使われるか」を知ることができる状態を作る

なぜ必要か

顧客がオンラインストアで商品を購入する際に、名前、住所、クレジットカード番号を入力します。顧客は「商品代金の請求と配送に使われるのだろう」という信頼のもとで情報を提供しています。もし企業がこの情報を隠れて「マーケティング企業への販売」に流用したら、その信頼は完全に破壊されます。

そこで法律は、企業に対して「情報を取得する際に、利用目的を特定し、本人に通知または公表しろ」と強制しているのです。これにより、本人は「この企業はこの情報をこう使う」と明確に理解した上で、情報提供するか否かを判断できます。

実装方法

多くの企業は利用規約やプライバシーポリシーに「当社は顧客情報を以下の目的に限定して使用します：(1) 商品・サービスの提供、(2) 代金請求、(3) キャンペーン案内」と明記することで、利用目的を特定・公表しています。

目的外利用の限定的な例外

基本は「特定した目的以外に使ってはいけない」ですが、社会的に緊急な場合は例外があります。

ただし、このような例外は限定的です。「似たような目的だから大丈夫」という解釈は許されません。

目的：個人情報の漏えい、改ざん、盗難、不正アクセスを防ぐ

なぜ複数の方向が必要か

個人情報は形のないデジタルデータですから、放置しておくと簡単に盗まれます。1つの場所でセキュリティを強化しても、別の場所に穴があれば意味がありません。そこで、組織・人・物理施設・技術という4方向すべてから防御する必要があります。これは「城壁、兵士、門、監視塔」をすべて備えるような多層防御です。

方向1：組織的安全管理（仕組み作り）

企業全体として、個人情報をどう扱うかをルール化します。

方向2：人的安全管理（従業員教育）

最終的には、人間が情報を扱うため、従業員教育が重要です。

方向3：物理的安全管理（施設管理）

情報が格納されている場所（オフィス、データセンター）を物理的に守ります。

方向4：技術的安全管理（IT技術）

デジタルデータそのものを技術的に保護します。

規模に応じた現実的対応

法律は「完全な安全を保証しろ」とは言いません。重要なのは「その事業者の規模・性質に応じた実行可能な措置を講じろ」という要求です。

つまり、「小さい企業だから何もしなくていい」のではなく、「小さい企業でも実現可能なレベルの対策を講じろ」という意味です。

目的：本人の同意なしに、情報を他企業に渡さない

なぜ制限が必要か

本人は「この企業にだけ情報を預ける」という信頼のもとで情報を提供します。その情報が予期しない別の企業に渡されると、本人は新たなリスクにさらされます。たとえば、銀行に預金額を知られるのは許容できても、その情報が消費者金融に渡って営業電話がかかってくることは、本人が望まないことです。

そのため、原則として「本人の明示的な同意」なしに第三者提供はできません。

第三者提供とは何か

企業Aが保有する個人データを、別の独立した企業Bに渡し、Bが独立してそのデータを管理・利用することです。注意すべきは、以下の3つは「第三者提供には該当しない」という点です。

本人同意が不要な4つの例外

法律は、社会的に緊急な場合に限定的に、本人同意なしでの第三者提供を認めています。

目的：本人が自分の情報をコントロールする権利を保障する

個人情報保護法は、本人に4つの強力な権利を与えています。企業はこれらの請求に応じる法的義務を負います。

事業者の対応期限

企業がこれらの請求を受けたら、遅滞なく対応しなければなりません（個人情報保護法第33〜36条）。対応に応じない、または不当に拒否する場合は、個人情報保護委員会（国の行政機関）から指導や行政処分を受けます。

定義と例

要配慮個人情報は、流出した場合に本人が著しい害を被る可能性がある情報です。具体例：人種、信条、社会的身分、病歴、犯罪歴、犯罪被害歴など。

最重要ルール：取得時の同意が必須

通常の個人情報は「利用規約に同意した」という一般的な同意で足りますが、要配慮個人情報は、その取得段階で本人の個別的で明示的な同意が必須です。

たとえば、健康診断結果から病歴を得る場合、企業は事前に「この情報を取得してもいいか、また今後の健康管理研究に使ってもいいか」と本人に個別に確認を取らなければなりません。「利用規約に同意した」というだけでは不十分です。

その他の特別ルール

2022年の改正は、デジタル化・グローバル化への対応と、プライバシー保護強化の両立を目指したものです。具体的には、以下の3つの社会変化に対応する必要がありました。

新しい概念

「個人関連情報」とは、個人情報ではないが、個人に関連する情報です。具体例：Cookie（ウェブサイトが端末に保存する識別情報）、IP アドレス、デバイスID、行動ログなど。

なぜ問題か

単体では個人を識別できない情報も、複数を組み合わせると「あ、このユーザーはこのサイトで商品A検索した後、サイトBで商品Bを比較検討した」という個人の行動が追跡できます。このような追跡が大規模に行われると、プライバシー侵害のリスクが高まります。

改正内容

個人関連情報を第三者に提供する際、企業は本人に対して「どのような情報を、どの企業に提供するのか」を情報提供する義務が発生しました。これにより、本人が「自分の行動ログが他企業に提供されている」ことを知ることができます。

定義と背景

仮名加工情報とは、個人情報から氏名・住所・電話番号などを削除して、「ID＋購買日時＋購買金額」のような形に加工した情報です。ただし、企業は「ID番号12345＝山田太郎」という対応表を保有していれば、いつでも復元可能な状態です。

従来の法律では、この状態を「個人情報扱い」にしてしまうと、企業が利用目的外の使用（例：当初は「顧客管理」目的で取得した情報を「マーケティング分析」に流用）ができず、データを活用する利便性が低下します。一方で「完全に匿名化」されていないため、プライバシーのリスクが残ります。

そこで改正では、仮名加工情報という「中間的な状態」を新たに設定し、一定の条件下での利用目的変更を認めることにしました。ただし、第三者提供は原則として禁止されています。

仮名加工情報に認められる「特権」

仮名加工情報の重要な制限

企業が果たすべき責務

なぜこの改正が必要だったか

2020年代に入ると、大規模なデータ漏えい事案が相次ぎました。ランサムウェア（身代金要求型マルウェア）に感染して顧客データを盗まれた、内部者が顧客情報を流出させた、など様々なケースが報告されました。問題は、企業が漏えいを知っていても、本人に知らせないケースがあったことです。本人が知らされなければ、詐欺や不正融資の被害を受けても、対策を講じることができません。

改正内容

漏えい（改ざん、盗難、不正アクセス、紛失など）が発生した場合、企業は以下の2つの対応が義務化されました。

この改正により、本人は「自分の情報が漏えいしている」ことを知ることができ、詐欺を警戒したり、金融機関に連絡したり、適切な対策を講じることができます。

罰則

報告義務に違反または虚偽報告をした場合、企業は行政処分（指導・勧告）の対象となり、さらに50万円以下の罰金が科される可能性があります。

背景

グローバル化に伴い、企業が顧客データをクラウドストレージ企業（米国）に預けたり、海外の子会社に共有したりするケースが増えました。しかし、外国の個人情報保護制度が日本より低いレベルの場合があり、本人のプライバシーがより低い保護水準で管理される危険がありました。

改正内容

個人データを外国の第三者に提供する場合、企業は本人に対して以下を情報提供する義務が発生しました。

これにより、本人は「自分の情報がどの国に、どのような保護水準で管理されるか」を事前に知ることができます。

例外

以下の場合は、情報提供が不要です。

法人の罰金が、改正前は行為者と同額（30〜50万円以下）だったものが、改正後は1億円以下に大幅に引き上げられました。これは「経営層も個人情報保護に責任を持つ」という強いメッセージを与えています。中小企業でも、個人情報保護法の重大な違反は「会社の存続に関わる」レベルの罰金を受ける可能性があります。

企業が個人情報を「データとして活用したい」というニーズと、「本人のプライバシーを守りたい」という要求を両立させるために、加工された情報に対して異なるルールを設けています。

試験での使い分けポイント

間違った理解

正しい理解

個人情報の必須条件は「個人を識別できるか」です。属性情報（「営業職」「30代」）だけでは、数百万人が該当するため個人情報ではありません。個人データは、さらに「事業者が体系的に管理している」という条件が加わります。

間違った理解

正しい理解

委託は、事業者Aが外注先Bに処理を任せるが、A社が管理責任を保有し続けます。委託先は「A社の指示下で」処理するので、本人同意は不要です。反対に、第三者提供は独立した別企業に管理・利用を任せるため、本人同意が原則として必須です。

間違った理解

正しい理解

安全管理は組織・人・物理・技術の4方向すべてが必須です。いくら暗号化しても、施設の鍵がなければ、従業員が無断持ち出しすれば、プライバシーポリシーがなければ、全体として不十分です。中小企業は「規模に応じた実行可能な措置」で足りますが、4方向をすべてカバーする必要があります。

間違った理解

正しい理解

2つの最大の違いは第三者提供の可否です。匿名加工情報は外部企業への第三者提供が可能（本人同意不要）ですが、仮名加工情報は原則として第三者提供が禁止されています（委託・事業承継・共同利用は例外）。また、匿名加工情報は個人情報に該当しないため利用目的の制限がなく、あらゆる目的での利用が可能です。仮名加工情報は利用目的の変更が関連性のある範囲内で許可されます。

間違った理解

正しい理解

PPC報告は「3〜5日以内」です。本人通知も速やかに行う必要があります。報告遅延は行政処分、罰金の対象になります。

間違った理解

正しい理解

要配慮個人情報（病歴、犯罪歴など）はオプトアウト手続でも第三者提供できません。この情報の第三者提供には、必ず本人の個別同意が必須です。

問題が何について問うているかを確認します。

「これは何に該当するか」を4段階で切り分けます。

「第三者提供に該当するか」を確認します。

第三者提供が該当する場合、本人同意が不要な例外がないか確認します。

この論点は個人情報保護法そのものではありませんが、診断士試験では「ネット上で個人の権利が侵害されたとき、誰にどこまで責任を問えるか」という形で並んで問われやすいため、ここでまとめて整理します。

インターネット掲示板やSNSでは、名誉毀損、プライバシー侵害、営業上の信用毀損などが発生します。しかし、投稿者本人は匿名であることが多く、被害者は「まず誰が書いたのか」を突き止めないと損害賠償請求も削除請求も進めにくいという問題があります。

この法律は、その場を提供しているプロバイダやプラットフォーム事業者について、

を整理したものです。

試験では特に「プロバイダには一般的な監視義務がある」という誤りが定番です。法律の狙いは、被害者救済と、事業者に過大な監視義務を負わせないことのバランスにあります。

被害者が求めるものは大きく2種類あります。

この2つは目的が違います。削除は「これ以上広がらないようにする」ための対応であり、開示は「誰がやったかを特定する」ための対応です。試験では両者を混同しないことが重要です。

細かな手続名称よりも、まずは次の骨格を覚えると整理しやすくなります。

要するに、「被害がある」「それが法的に見ても侵害といえる」「だから発信者を知る必要がある」という3段階です。

個人情報保護法が扱う中心は「事業者が保有する個人データの取得・利用・第三者提供」です。一方、プロバイダ責任制限法が扱う中心は「ネット上の発信による権利侵害と、その情報流通の責任配分」です。

つまり、

という役割分担です。どちらも「個人に関する情報」を扱いますが、守ろうとしている場面が違います。