要配慮個人情報 (G検定)

1. 定義と概要

要配慮個人情報とは、個人情報保護法第2条第3項で定義される個人情報の一区分です。条文では「本人の人種、信条、社会的身分、病歴、犯罪の経歴、犯罪により害を被った事実その他本人に対する不当な差別、偏見その他の不利益が生じないようにその取扱いに特に配慮を要するものとして政令で定める記述等が含まれる個人情報」とされています。

政令（法律の委任を受けて内閣が定める細かいルール）ではこれに加えて、身体障害・知的障害・精神障害（発達障害を含む）などの障害があることを対象に含めています。あわせて、医師等による健康診断や検査の結果、その結果に基づく保健指導（健康診断の結果をふまえて医師などが行う生活改善の助言）・診療・調剤の事実も対象です。逮捕や捜索といった刑事事件に関する手続、少年保護事件に関する手続も、政令が追加した対象です。

具体例としては、診療録に記載された病歴、健康診断の結果、前科・前歴、信仰する宗教などが挙げられます。こうした記述は単なる個人の識別情報とは異なり、それ自体が本人への偏見や不利益な取扱いにつながりかねない性質を持っています。

従来の個人情報保護法は、氏名や住所など個人を識別する情報を中心に規律しており、内容の機微さによる区分を持っていませんでした。しかし、ビッグデータ（インターネットやセンサーなどから集まる膨大な量のデータ）の活用やパーソナルデータ（個人に関わるさまざまなデータ）の利活用が進むにつれ、機微な情報の漏えいや不適切な利用が差別や偏見に直結するリスクが顕在化しました。

こうした背景から2015年の法改正で要配慮個人情報という区分が新設され、通常の個人情報より厳格な取得・提供ルールを課す枠組みが整えられました。この改正によって、内容の機微さに応じて取扱いの厳格さを変える発想が、個人情報保護法の枠組みに明確に組み込まれることになりました。

2. 試験対策ポイント

まず整理したいのは、要配慮個人情報の取得と提供に関するルールです。要配慮個人情報を取得する際は、あらかじめ本人の同意を得ることが原則となります。通常の個人情報の取得には本人同意が不要な場面が多いのに対し、要配慮個人情報は取得段階から同意が求められる点が、両者の違いとして表れます。

また、通常の個人情報に認められているオプトアウト（本人があとで停止を求められる前提で、事前の個別同意なく第三者にデータを渡す仕組み）による第三者提供は、要配慮個人情報には認められていません。この違いは、要配慮個人情報が漏えいした場合に本人が被る不利益の大きさを踏まえたものです。

対象となる記述の束も、押さえておきたいポイントです。どこで定められた記述なのかで分けて並べます。

定めている場所	対象に含まれる記述
個人情報保護法の本体	人種、信条、社会的身分、病歴、犯罪の経歴、犯罪により害を被った事実
政令による追加	障害があること、健康診断等の結果、その結果に基づく保健指導・診療・調剤の事実、刑事事件に関する手続、少年保護事件に関する手続

たとえば、勤務先の健康診断結果や採用選考で得た犯罪歴に関する情報などは、いずれもこの束に含まれる代表例です。法律本体の列挙と政令による追加が組み合わさって、要配慮個人情報の全体像を形づくっています。

漏えい等が生じた場合、個人情報保護委員会（個人情報保護法の運用を監督する国の機関）への報告と本人への通知が求められる対象になりうる点も、通常の個人情報との取扱いの差にあたります。取得・提供・漏えい時の対応という三つの局面で、通常の個人情報より一段厳しい規律が課される構造になっています。

3. 関連概念との比較・相違点

通常の個人情報との最大の違いは、取得や提供にかかる規律の重さにあります。とくに差がはっきり出るのが、取得時の同意と第三者提供の二つの場面です。

場面	通常の個人情報	要配慮個人情報
取得時の本人同意	不要な場合が多い	原則として必要
オプトアウトによる第三者提供	認められる	認められない

なかでも取得時の同意の要否は、両者を区別するうえでの軸になります。同意が要るかどうかという一点に着目するだけで、規律の重さの違いを見分けられます。機微な内容を含む情報ほど、本人の意思を先に確認する仕組みになっているという理解が土台になります。

個人関連情報との最大の違いは、対象となる情報が特定の個人を識別できるかどうかにあります。個人関連情報とは、氏名などと結び付いておらず、単体では特定の個人を識別できない情報のことで、ウェブサイトの閲覧履歴や広告用のCookie識別子などが代表例です。

これに対し要配慮個人情報は、特定の個人を識別できる情報のうち機微な内容を含むものです。同じ個人情報保護法が扱う概念でありながら、識別性の有無と機微性の有無という異なる軸で区分されている点は、取り違えやすいところにあたります。

4. ビジネス・実務での活用シナリオ

医療・ヘルスケアの分野では、電子カルテや健診結果など病歴情報を扱うシステムが広く使われています。こうしたシステムでは、取得時の同意取得プロセスと厳格なアクセス制御の設計が運用の重要な柱になります。

機微な情報が漏えいすれば患者の不利益に直結するため、通常の個人情報以上に慎重な管理体制が求められます。誰がどの範囲の病歴情報にアクセスできるかを明確に区分する設計も、システム構築で欠かせない検討事項です。

人事・採用の分野では、応募者の思想・信条や犯罪歴に関する情報を収集する場面は限定されています。選考に不要な要配慮個人情報まで取得すると目的外の取得として問題視されかねないため、必要な範囲に絞った運用が求められます。選考基準と情報収集の範囲をあらかじめ整合させておくことも、運用上の課題として挙げられます。

保険業では、健康状態や病歴に基づいて保険の引受可否を判断する査定が行われます。この場面では、要配慮個人情報の取得同意と利用目的の明示がリスク管理上の要点になります。同意取得の手続きを欠くと、契約自体の適法性が問われかねません。査定に必要な範囲を超えた情報収集を避けることも、査定実務における留意点です。

5. 要点まとめ

• 要配慮個人情報は、人種・信条・社会的身分・病歴・犯罪の経歴・犯罪被害の事実などを含み、不当な差別や偏見を防ぐため特に配慮を要する個人情報として個人情報保護法第2条第3項に定義されます。
• 取得には原則として本人の同意が必要であり、オプトアウトによる第三者提供は認められていない点が通常の個人情報との大きな違いにあたります。
• 対象範囲は法律本体の列挙に加え、障害の有無や健康診断結果、保健指導の事実、刑事事件・少年保護事件の手続などが政令で追加されています。

6. 確認問題