保有個人データ (G検定)

1. 定義と概要

保有個人データとは、個人情報取扱事業者（個人情報をデータベース化して事業に利用している会社などの事業者）が、開示、訂正、追加、削除、利用停止、消去及び第三者への提供の停止を行うことのできる権限を持つ個人データです。このうち利用停止（本人が「そのデータをもう使わないでほしい」と求めること）と第三者への提供の停止（本人が「他社にデータを渡さないでほしい」と求めること）は、本人が求められる代表的な権利です。

これは個人情報保護法（個人情報の適正な取り扱い方法を定めた日本の法律）上の定義です。ただし、他社から委託を受けて取り扱っているだけのデータや、存否が明らかになることで公益等を害するおそれがあるデータは除かれます。

具体例としては、事業者が自社で管理する会員データベースに含まれる氏名、住所、購入履歴などが挙げられます。つまり、単に保管しているだけでなく、本人からの請求に応じて開示や利用停止に対応できる状態にあるデータが保有個人データにあたります。

個人情報保護というと、集めたデータすべてに同じ義務がかかると誤解されやすいところですが、法律上は個人情報・個人データ・保有個人データという段階的な定義が置かれています。本人が開示や利用停止を求められる権利は、このうち保有個人データに限って認められます。

従来は6か月以内に消去する短期保存データが保有個人データから除外されていましたが、短期間であっても本人の権利侵害のおそれは小さくないという考え方から、2022年4月施行の改正個人情報保護法でこの除外規定が撤廃されました。これにより、短期保存データも保有個人データに含まれるよう変更されています。事業者側から見れば、保存期間の長短にかかわらず開示等の対応体制を整えておく必要が生じたということでもあります。

2. 試験対策ポイント

まず押さえておきたいのは、保有個人データの定義そのものの要件です。個人データのうち、事業者が開示、訂正、追加、削除、利用停止、消去、第三者への提供の停止を行う権限を持つものが保有個人データにあたります。

本人からの開示請求（本人が「自分のデータを見せてほしい」と事業者に求めること）という権利があります。同様に、利用停止や第三者提供の停止も、本人が行使できる権利です。これらの権利名と保有個人データの範囲は、セットで押さえておきたい対応関係です。

2022年4月施行の改正個人情報保護法でも、保有個人データの範囲が変更されています。従来は「6か月以内に消去する短期保存データ」が保有個人データから除外されていましたが、この改正で除外規定が撤廃され、保存期間の短さにかかわらず保有個人データに含まれるようになりました。改正の前後で対象範囲が広がった経緯は、旧来の定義と混同しやすい箇所です。

保有個人データから除外される代表例も取り違えやすい点です。ひとつは委託先（業務の一部を任された外部の会社）が委託元から預かって取り扱っているだけのデータで、開示等の権限は委託元にあるため委託先自身の保有個人データにはあたりません。もうひとつは、存否が明らかになることで生命・身体・財産等の公益を害するおそれがあるデータです。

あわせて、個人情報・個人データ・保有個人データの3層構造も整理しておきたいところです。どの要件が積み重なって次の層になるのかを、表にまとめます。

用語	その層が定まる要件	本人の開示等の請求
個人情報	特定の個人を識別できるか	対象外
個人データ	個人情報データベース等として体系的に検索できるか	対象外
保有個人データ	事業者が開示等の権限を持つか	対象

ここでいう個人情報データベース等とは、検索しやすいように整理された個人情報の集まりのことです。要件が一段ずつ積み重なって範囲が絞り込まれていく構造になっており、この積み重ねを踏まえると、問題文がどの段階の定義を指しているのかを区別できます。

3. 関連概念との比較・相違点

保有個人データは、隣り合う概念と見比べると輪郭がはっきりします。まず、どの軸で見比べるのかを整理します。

比較対象	保有個人データと見比べる軸
個人データ	内訳の関係
個人関連情報	特定の個人を識別できるか
GDPR（EU一般データ保護規則）	本人の権利行使の対象範囲と越境データ移転の規律

個人データは個人情報データベース等を構成する検索可能な個人情報全般を指すのに対し、保有個人データはそのうち事業者が開示等の権限を持つものに絞られます。個人データという大きな集合の中に、開示や利用停止の対象となる保有個人データが含まれる関係になっています。両者を同じものとして扱うと、権利義務の範囲を取り違える原因になります。

個人関連情報（Cookie（クッキー。ウェブサイトの閲覧履歴などを記録する仕組み）の利用履歴のように、それ単体では誰の情報か分からない関連データ）は、それ単体では特定の個人を識別できない情報を指します。一方で保有個人データは、特定の個人を識別できることが前提となっている情報です。この識別性の有無が、両者を分ける境界線になっています。

日本の個人情報保護法は、個人情報・個人データ・保有個人データという段階的な定義を置き、権利義務の対象を絞り込む構造を持っています。GDPRとは制度設計の出発点が異なり、階層構造の有無が両者を見比べるときの比較軸になります。

4. ビジネス・実務での活用シナリオ

EC・通販の分野では、退会を申し出た会員から購入履歴データの開示請求を受けるケースがあります。この場合、事業者は保有個人データとして本人の指定する方法で遅滞なく開示する義務を負います。退会後であっても保有個人データとしての性質が消えるわけではなく、対応義務は残ります。

人事・採用の分野では、応募者から履歴書データの利用停止請求を受ける可能性があります。採用選考が終了した後の応募者データも保有個人データにあたるため、社内で請求を受け付ける窓口や手続を整備し、あらかじめ公表しておく必要があります。窓口が整っていないと、請求を受けてからの対応が後手に回りかねません。

金融・決済の分野では、6か月以内に消去する短期保存の取引ログが2022年改正後は開示請求の対象に含まれるようになりました。従来は短期間で消去するログを保有個人データの管理対象から外していた事業者もありましたが、保存期間の短さにかかわらず開示対応フローを整えておく必要があります。取引ログは量が多く更新も速いため、他の保有個人データ以上に運用の見直しが求められる領域です。

5. 要点まとめ

• 保有個人データは、個人情報取扱事業者が開示・訂正・利用停止等の権限を持つ個人データであり、個人情報⊃個人データ⊃保有個人データという階層構造の最も内側に位置します。
• 2022年4月施行の改正個人情報保護法により、従来除外されていた6か月以内消去の短期保存データも保有個人データに含まれるようになりました。
• 委託先が取り扱っているだけのデータや、公益等を害するおそれがあるデータは保有個人データから除外されます。

6. 確認問題