個人データ (G検定)

1. 定義と概要

個人データとは、個人情報保護法（個人情報の取り扱いルールを定めた日本の法律）第16条第3項が定める「個人情報データベース等を構成する個人情報」です。個人情報データベース等（同条第1項）とは、個人情報をコンピュータで検索できるように体系的に構成したもの、または紙面であっても目次や索引等により容易に検索できるよう体系的に構成したものを指します。

具体例としては、顧客管理システムに登録された氏名・住所・購買履歴や、五十音順に整理された紙の会員名簿などが挙げられます。逆に、名刺交換で受け取ったまま整理していない名刺の束のように、体系的に整理されていない個人情報は個人データには当たりません。同じ情報でも、検索できる形にまとめた時点で個人データに変わるという考え方です。

個人情報保護法は、まず「個人情報」を生存する個人に関する情報として幅広く定義しています。そのうえで、事業者が扱う情報すべてに一律の重い義務を課す仕組みにはしていません。体系的に整理され利用価値が高く、漏えい時の被害も大きくなりやすい「個人データ」には、追加の義務が課されます。具体的には、正確性の確保・安全管理措置（個人データの漏えいや紛失を防ぐために事業者が講じる管理策）・第三者提供（集めた個人データを外部の別の事業者に渡すこと）の制限などです。

さらに個人データのうち事業者が開示等の権限を持つものは保有個人データと呼ばれ、本人からの開示・訂正・利用停止等の請求に対応する義務がもう一段重ねられます。個人情報で規制の土台を広く定義したうえで、データベース化の有無や事業者の権限の有無に応じて段階的に義務を重くしていく設計といえます。

2. 試験対策ポイント

まず整理しておきたいのは、個人情報・個人データ・保有個人データが「個人情報⊃個人データ⊃保有個人データ」という階層関係にある点です。それぞれ第2条第1項・第16条第3項・第16条第4項に対応しており、範囲が狭まるほど事業者に課される義務は重くなっていきます。

あわせて、個人情報データベース等（第16条第1項）の要件が「体系的に整理され検索可能な状態にあること」である点も押さえておきたいポイントです。バラバラの名刺の束や整理されていないメモは、個人情報ではあっても個人データには当たらない、取り違えやすい点です。

保有個人データについても、確認しておきたい論点があります。個人データのうち事業者が開示・訂正・利用停止等を行える権限を持つものが保有個人データです。ただし、その存否が明らかになることで本人や第三者の生命・身体・財産、公益等が害されるおそれのあるものは、施行令（法律の具体的な運用方法を定めた政令）第5条によって保有個人データから除外されます。

また2022年4月に施行された改正では、取得後6か月以内に消去する短期保存データを保有個人データから除外する規定が廃止されました。保存期間の長短にかかわらず、事業者が権限を持つ個人データはすべて保有個人データに含まれるようになった変更点です。改正前後で結論が入れ替わる論点のため、あわせて整理しておきたいところです。

個人情報取扱事業者（個人情報データベース等を事業活動に利用している事業者）が個人データを扱う際は、安全管理措置や第三者提供の制限に加えて、開示請求（本人が自分に関するデータの内容を確認できるよう事業者に求める権利）への対応も求められます。これらの関連用語は、個人情報・個人データ・保有個人データの階層関係を理解するうえでまとめて確認しておきたい語群です。

3. 関連概念との比較・相違点

個人情報との最大の違いは、範囲の広さとデータベース化の有無にあります。個人情報は、生存する個人に関する情報のうち氏名や生年月日等によって特定の個人を識別できるもの、または個人識別符号（それ単体で特定の個人を識別できる符号）を含むものを指す、最も広い概念です。

体系的に整理されているかどうかは問いません。名刺交換のあと未整理のまま保管している連絡先も、個人情報には当たります。一方で個人データは、そのうち個人情報データベース等を構成するものに限られる、より狭い概念です。

保有個人データとの最大の違いは、事業者の権限の有無と義務の重さにあります。個人データのうち、事業者が開示・訂正・追加削除・利用停止・消去・第三者提供停止を行える権限を有するものが保有個人データです。

ただし、その存否を明らかにすることで本人や第三者の生命・身体・財産、公益等が害されるおそれがあるものとして施行令第5条が定める例外は、保有個人データから除かれます。保有個人データにはさらに、本人からの開示請求等に対応する義務が上乗せされる点が、個人データとの違いです。

三者の関係は、根拠条文・範囲の要件・上乗せされる義務という三つの軸で並べると見分けやすくなります。

用語	根拠条文	範囲の要件	上乗せされる主な義務
個人情報	第2条第1項	生存する個人を識別できる情報、または個人識別符号を含む情報	規制の土台となる定義で、上乗せはありません
個人データ	第16条第3項	個人情報のうち個人情報データベース等を構成するもの	正確性の確保・安全管理措置・第三者提供の制限
保有個人データ	第16条第4項	個人データのうち事業者が開示・訂正・利用停止等の権限を持つもの	本人からの開示・訂正・利用停止等の請求への対応

この三段構えが頭に入っていれば、手元の情報が整理済みかどうか、自社に開示等の権限があるかどうかの順に見ていくだけで、どの層に当たるかを判定できます。

4. ビジネス・実務での活用シナリオ

小売・EC業界では、会員登録された氏名・住所・購買履歴を顧客管理システムに格納した時点で個人データに当たり、安全管理措置や第三者提供時の同意取得といった追加の管理義務が生じます。名刺交換のみで受け取った未整理の連絡先は個人情報にとどまり、個人データとしての義務は生じません。この区別が、実務対応の起点になります。

人事・採用の場面でも、同じ考え方が当てはまります。応募者管理システムに登録された履歴書データは個人データに当たり、人事部門が開示・訂正等の権限を持てば保有個人データとして扱われます。応募者本人からの開示請求・訂正請求に対応できる体制の整備が必要になります。

マーケティング・CRM（顧客関係管理）の分野では、ポイントカード会員のデータベースを分析してキャンペーン施策に活用する場面が典型です。データベース化された時点で、正確性の確保や安全管理措置といった個人データとしての義務が生じます。2022年の改正後は、保有期間が短くても保有個人データとして開示請求対応の対象になります。

5. 要点まとめ

• 個人データとは、個人情報保護法第16条第3項が定める「個人情報データベース等を構成する個人情報」で、体系的に整理され検索可能な状態にあることが要件になります。
• 個人情報・個人データ・保有個人データは「個人情報⊃個人データ⊃保有個人データ」という階層関係にあり、範囲が狭まるほど事業者に課される義務は重くなります。
• 2022年4月施行の改正で、6か月以内に消去する短期保存データを保有個人データから除外する規定が廃止され、短期データも開示請求等の対象に含まれるようになりました。

6. 確認問題