パーソナルデータ (G検定)

2026年8月12日2026年9月2日

G検定

1. 定義と概要

パーソナルデータとは、個人情報保護法などの法令に明確な定義を持たない言葉で、氏名や生年月日のように特定の個人を識別できる「個人情報」に加え、個人情報との境界が曖昧な情報も含む、個人に関連する広い範囲の情報の総称として使われます。

具体例として、購買履歴、位置情報、ウェアラブル機器（腕や体に装着して使う機器）から得られる生体データ、Cookie（ウェブサイト訪問時にブラウザへ保存される閲覧履歴などの小さなデータ）等の識別子、閲覧履歴などが挙げられます。法律上の一つの単語ではなく、実務やビジネスの現場で個人に関わるデータ全般をまとめて呼ぶための概念として定着しています。

この言葉が広がった背景も押さえておきたいところです。従来、法規制の対象は個人情報保護法が定める「個人情報」に限られていました。個人情報とは、氏名・生年月日・個人識別符号（マイナンバーや旅券番号のように、それ単独で特定の個人を識別できる符号）など、それ単体または他の情報との照合によって特定の個人を識別できる情報を指します。

ビッグデータ・IoT・スマートフォンの普及により、Cookie等の識別子や位置情報、行動履歴のように個人を直接特定はしないが個人に関連するデータの収集・活用が拡大しました。その結果、規制の対象外ですが慎重な取り扱いが必要な情報群が増えています。

こうした変化を受けて、個人情報保護法には加工の程度に応じた区分が追加されてきました。新設された改正年とあわせて整理すると、次のようになります。

区分	新設された改正	どんな情報か
匿名加工情報	2015年の改正	特定の個人を再び識別できないよう元に戻せない形に加工した情報
仮名加工情報	2020年の改正	他の情報と照合しない限り個人を識別できないよう加工した情報
個人関連情報	2020年の改正	Cookie等の識別子や閲覧履歴のように、それ単体では個人を特定できないが個人に関連する情報

このように区分が増えたことで、パーソナルデータ全体をどのルールで扱うかが、実務・試験の双方で論点になっています。

2. 試験対策ポイント

理解するうえで中心になるのは、個人情報保護法上の「個人情報」とパーソナルデータの範囲の違いです。個人情報は特定の個人を識別できる情報に限定されるのに対し、パーソナルデータはそれを包含するより広い概念であり、法令上の定義を持ちません。この範囲の広さの違いが、押さえておきたい出発点になります。個人情報という限定された枠組みと、パーソナルデータという実務上の広い括りを混同しないことが理解の第一歩です。

個人情報の加工区分として、匿名加工情報と仮名加工情報は混同しやすい組み合わせです。匿名加工情報は、特定の個人を再識別できないよう元に戻せない形に加工した情報で、本人同意なく第三者提供（集めた個人データを外部の別の事業者に渡すこと）が可能です。仮名加工情報は、他の情報と照合しない限り個人を識別できないよう加工したもので、匿名加工情報より加工の程度が緩やかな一方、単独での第三者提供は原則できません。

加工の程度と提供ルールが対になっている点は、取り違えやすい箇所です。匿名加工情報は社外との共有を前提とした加工、仮名加工情報は社内での分析利用を前提とした加工、という使い分けのイメージで整理できます。

2020年改正で新設された個人関連情報も試験対策の柱になります。IPアドレスや閲覧履歴のように、それ単体では個人を識別しないものの、提供先で個人データと紐付くことが想定される情報を指します。提供先が個人データとして取得することが想定されるとき、提供元は本人同意取得済みであることの確認義務を負う、という提供元・提供先の視点の違いが分かれ目です。

あわせて、国際的な規律としてGDPR（EU〔欧州連合〕が定める個人データ保護のための包括的な規則）も対比の対象になります。GDPRの”personal data”は、日本の個人情報保護法上の「個人情報」よりも広い情報を対象としており、越境データ移転の文脈で言及されます。日本と海外とでは、保護の対象となる情報の範囲が異なる場合があります。

3. 関連概念との比較・相違点

個人情報（個人情報保護法上の定義）との最大の違いは、範囲の広狭にあります。個人情報は、氏名や個人識別符号など特定の個人を識別できる情報に限定される法令上の用語です。一方のパーソナルデータは、個人情報を包含しつつ、それより広く個人に関連する情報全般を指す業界・実務用語で、法令上の定義を持ちません。

個人情報保護法の条文を読むときは「個人情報」、実務やビジネスの文脈でデータ活用を語るときは「パーソナルデータ」という使い分けがなされる場面が多く見られます。

匿名加工情報との最大の違いは、加工の有無と識別可能性・提供ルールにあります。匿名加工情報は、特定の個人を再識別できないよう加工し、本人同意なく第三者提供できる情報です。パーソナルデータという大きな括りの中で、加工により個人情報保護法の規律の一部が緩和された一区分に位置づけられます。生のパーソナルデータをそのまま扱うより、匿名加工情報に変換したほうが第三者提供の自由度が高まるという関係にあります。

個人関連情報との最大の違いは、識別可能性の所在にあります。個人関連情報は、それ単体では個人を識別しないが、提供先で個人データと紐付くことが想定される情報で、Cookie等が代表例です。パーソナルデータの中でも識別性がグレーゾーンにある区分で、提供元・提供先のどちらの視点に立つかによって規律が変わる点が特徴です。

提供元にとっては個人を特定できない情報でも、提供先で他の情報と組み合わせれば個人を特定できてしまう、という立場の違いが規律の根拠になっています。

4. ビジネス・実務での活用シナリオ

小売・EC分野では、購買履歴や行動データ（パーソナルデータ）を分析し、レコメンド精度を高める活用が進んでいます。氏名等と直接紐付けず匿名加工情報として扱えば、本人同意を得ずに第三者提供や共同分析に用いることができ、データの価値を損なわずに活用範囲を広げられます。複数の事業者間でデータを持ち寄って分析する共同マーケティングにも応用しやすくなります。

広告・マーケティング分野では、Cookie等の識別子（個人関連情報）を用いたターゲティング広告が広く使われています。提供先で個人データと紐付くことが想定される場合は、提供元が本人同意取得済みであることの確認が必要になり、技術的に識別子を扱えるかどうかとは別に、法令上の確認プロセスが実務の焦点になります。広告配信の仕組みを設計する段階で、この確認プロセスをどう組み込むかが実務上の課題になります。

金融・データ流通分野では、情報銀行（本人に代わってパーソナルデータを管理し、第三者への提供を仲介する事業）がPDS（パーソナルデータストア。個人が自分のデータを自分で管理・保管する仕組み）を介して、本人の同意条件に基づきパーソナルデータを第三者に提供する取り組みが広がっています。データ活用の対価を本人に還元する仕組みは、自己情報コントロール（自分に関する情報の利用や提供を、自分自身の意思で決められるという考え方）という理念を実務に落とし込んだものです。事業者主導の一方向的な収集から、本人が関与できる仕組みへと重心が移りつつあります。