個人情報保護法 (G検定)

1. 定義と概要

個人情報保護法（正式名称：個人情報の保護に関する法律）とは、個人情報の有用性に配慮しつつ個人の権利利益を保護することを目的として、個人情報を取り扱う事業者が守るべき義務やルールを定めた日本の法律です。国の行政機関、地方公共団体、民間企業など個人情報を取り扱うほぼすべての主体に適用され、利用目的の特定、適正な取得、第三者提供の制限などが代表的な義務として定められています。これらの義務は、個人情報を集める段階から実際に活用する段階まで、一連の取扱いのプロセス全体に及んでいます。

従来は、民間事業者・行政機関・独立行政法人等でそれぞれ個人情報保護に関する法律やガイドラインが別々に存在していました。情報通信技術の発展とともに、個人情報を活用したビジネスやサービスは広がりを見せてきました。こうした利活用ニーズの高まりを受け、2015年の改正では、社会・経済情勢の変化に応じて3年ごとに制度を見直す規定が導入されています。

この見直し規定を起点として行われたのが、近年の大きな2つの改正です。成立の時期・主な内容・施行日を並べると、制度が動いてきた流れをつかみやすくなります。

改正	主な内容	施行日
2020年6月成立の改正法	本人の権利拡充、事業者の責務追加、仮名加工情報制度の新設	2022年4月1日に全面施行（法定刑の引き上げに関する部分のみ2020年12月12日に先行施行）
2021年改正・行政機関等に関する部分	民間事業者向け・行政機関向け・独立行政法人等向けの法律を1本に統合する官民一元化	2022年4月1日
2021年改正・地方公共団体に関する部分	同じく官民一元化によるルールの統合	2023年4月1日

このように、別々だったルールを一本化しつつ、本人の権利と事業者の責務を段階的に強めてきた経緯があります。改正のたびに、事業者には利活用と保護のバランスを踏まえた運用が求められるようになっています。

2. 試験対策ポイント

個人情報・個人データ・保有個人データには、三段階の関係があります。個人情報のうち個人情報データベース等を構成するものが個人データ（検索しやすいようにデータベース化されたものの中身）にあたります。そのうち、事業者が開示・訂正・削除等の求めに応じる権限を持つものが、保有個人データ（事業者が本人からの開示・訂正・削除の求めに応じられる立場にある個人データ）として、さらに区別されます。この三段階の区分は、事業者が負う義務の重さを判断する土台になっています。

要配慮個人情報（人種、信条、病歴、犯罪歴など不当な差別や偏見が生じるおそれのある記述等を含む個人情報）は、取得に原則として本人の同意が必要です。オプトアウト（本人が停止を求めれば提供を止める前提で、事前の通知・届出のみで第三者提供できる方式）による第三者提供が認められない点が、通常の個人情報との違いにあたります。この違いは、本人の意に反した形での差別や偏見の助長を防ぐという法の趣旨に基づいています。

個人識別符号（それ単体で含まれていれば個人情報に該当する符号）には2種類あります。指紋認識データや顔認識データなど身体の特徴をデータ化した系統と、マイナンバーや旅券番号、運転免許証番号など公的な番号の系統です。

あわせて整理しておきたいのが、匿名加工情報（元の個人情報に復元できないよう加工し、特定の個人を再識別できなくした情報）と仮名加工情報という、個人情報を加工して使うための2つの類型です。どちらも元の個人情報を加工したデータですが、復元不可能なところまで踏み込むかどうかで区別されます。

加工類型	加工の程度	想定される使われ方
匿名加工情報	元の個人情報に復元できないよう加工し、特定の個人を再識別できなくする	社外への提供や公開を含む利活用
仮名加工情報	他の情報と照合しない限り特定の個人を識別できないよう加工する	社内での利活用（第三者提供はできません）

加工の程度が違えば、外部に出せる範囲も変わってくるという対応関係です。どちらの類型に当たるかを言い当てられるようにしておきたいところです。

第三者提供は原則として本人の同意が必要で、例外としてオプトアウト方式がありますが、要配慮個人情報等はオプトアウトの対象外です。オプトアウトを用いる事業者には、個人情報保護委員会（個人情報の取扱いを監視・監督する国の機関）への届出が義務づけられています。

3. 関連概念との比較・相違点

GDPR（EU一般データ保護規則。EU域内の個人データ保護を包括的に定めた規則）との最大の違いは、制裁金の水準と執行の厳しさです。個人情報保護法にも、日本国内にいる者への物品・役務の提供に関連して個人情報を取り扱う外国事業者に適用される域外適用の規定があり、違反時は是正勧告や命令といった行政指導が主な対応になります。

一方でGDPRは、制裁金の上限を全世界年間売上高を基準とする重い水準に設定しており、執行の厳しさの面で個人情報保護法と大きく異なります。日本国内だけで事業を行っている場合でも、取引先や委託先を通じてEU域内の個人データを扱う場面では、GDPRの適用対象になり得る点に注意が必要です。

マイナンバー法（行政手続における特定の個人を識別するための番号の利用等に関する法律）との関係は、一般法と特別法という整理になります。個人情報保護法が個人情報全般を対象とする一般法であるのに対し、マイナンバー法はマイナンバーという特定個人情報の利用範囲を法定された事務に限定し、個人情報保護法よりも厳格な規律を上乗せする特別法にあたります。

同じマイナンバーを扱う場面でも、個人情報保護法の一般的なルールだけでなく、マイナンバー法特有の制限が重ねて適用される点が実務上のポイントです。

4. ビジネス・実務での活用シナリオ

人事・採用の場面では、採用選考の過程で健康診断結果といった要配慮個人情報を取得することがあります。この場合は原則として本人の同意が必要になるため、同意取得のプロセスや説明方法の整備が実務上の対応点になります。取得目的を応募者にあらかじめ明示しておくことも、選考の透明性を保つうえで欠かせません。

マーケティング・ECの分野では、会員データを提携先企業へ提供する際にオプトアウト方式を用いる場合、個人情報保護委員会への届出と、本人への通知または本人が容易に知り得る状態での公表が必要になります。同意取得の手間を省ける分、事業者側には情報開示の透明性を確保する責任が伴います。

データ分析・AI開発の現場では、個人情報を含む学習データを社外へ提供したり公開したりする場合に、匿名加工情報や仮名加工情報へ加工したうえで活用する方法があります。加工によって、本人を識別できない、あるいは他の情報と照合しない限り識別できない形での利活用が可能になります。本人の同意取得が難しい大規模なデータセットでも、加工類型を使い分けることで分析やモデル開発に活用できる余地が広がります。

5. 要点まとめ

• 個人情報保護法は、個人の権利利益の保護と個人情報の有用性への配慮を両立させる目的で、個人情報・個人データ・保有個人データの各定義に応じた取扱いルールを定めています。
• 要配慮個人情報の取得や第三者提供には通常の個人情報より厳格な同意ルールが適用され、匿名加工情報と仮名加工情報という2つの加工類型の違いをあわせて整理しておきたいところです。
• 2020年改正（2022年4月全面施行）で本人の権利拡充や仮名加工情報制度の新設が行われ、監督機関である個人情報保護委員会が事業者への指導・勧告等を担っています。

6. 確認問題