U
「要配慮個人情報って何が入るの？」「第三者提供の例外ってどんな場合？」——個人情報保護法は改正が多く、細かい規定が試験に出ます。定義・義務・例外・匿名加工情報を体系的に整理して、確実に得点できる知識を身につけましょう。
個人情報保護法の概要——制定目的と保護委員会
個人情報保護法の目的
個人情報保護法（個人情報の保護に関する法律）は、高度情報通信社会における個人情報の適切な取扱いを確保し、個人の権利・利益を保護することを目的としています。デジタル社会の発展とともに改正が繰り返され、現在は個人情報保護委員会（PPC）が一元的に所管・監督しています。
この記事で学ぶこと
- 個人情報・要配慮個人情報の定義と具体例
- 個人情報取扱事業者の5つの義務
- 第三者提供の原則・オプトアウト制度・例外事由
- 匿名加工情報と仮名加工情報の違いと利用規制
- 個人情報保護委員会（PPC）の役割
- 試験対策まとめ・FAQ
個人情報の定義——何が「個人情報」に当たるか
個人情報の定義（法2条1項）
個人情報とは、生存する個人に関する情報であって、次のいずれかに該当するものをいいます。
| 要件 | 内容 | 具体例 |
|---|---|---|
| ①識別可能情報 | 特定の個人を識別できる情報（他の情報と照合して識別できる場合も含む） | 氏名・生年月日・住所・電話番号・顔写真 |
| ②個人識別符号 | それ単体で特定の個人を識別できる記号・番号等 | マイナンバー・旅券番号・運転免許証番号・指紋・顔認識データ・DNA |
重要なのは「生存する個人」という点。死者の情報は原則として個人情報保護法の対象外です（ただし、遺族等の生存者を識別できる場合は対象になりえます）。
個人情報に当たる例
- 氏名・生年月日の組み合わせ
- 顔写真・映像（本人特定できる）
- メールアドレス（氏名が入っている等）
- マイナンバー（単体で個人識別符号）
- 指紋・声紋・顔認識データ
- GPSの移動履歴（本人と紐づく場合）
個人情報に当たらない例
- 統計情報（個人が特定できない集計値）
- 死者の情報のみ（生存者と紐づかない）
- 仮名のみ（照合できる情報がない場合）
- 完全に匿名化された情報
要配慮個人情報——特別な保護が必要な情報
要配慮個人情報とは、不当な差別・偏見等の不利益が生じないよう、特に慎重な取り扱いが必要な個人情報です。通常の個人情報より厳格な規制が適用されます。
要配慮個人情報の該当例（法2条3項）
要配慮個人情報への厳格な規制
| 項目 | 通常の個人情報 | 要配慮個人情報 |
|---|---|---|
| 取得時 | 利用目的を通知・公表すれば取得可 | 原則として本人の同意が必要 |
| オプトアウトによる第三者提供 | 条件を満たせば可能 | オプトアウトによる第三者提供は禁止 |
| 安全管理措置 | 講じなければならない | より厳格な安全管理措置が求められる |
個人情報取扱事業者の5つの義務
個人情報取扱事業者（個人情報データベース等を事業に用いるすべての事業者）は、次の5つの義務を負います。以前は「5,000件超」という件数要件がありましたが、廃止されたため現在は規模に関わらず全事業者が対象です。
取得時の利用目的明示義務
個人情報を取得する際、利用目的をできる限り特定し、本人に明示・通知または公表する。本人から直接書面で取得する場合は事前の明示が必要。
安全管理措置義務
個人情報の漏えい・滅失・毀損を防ぐため、適切な安全管理措置を講じる。従業員・委託先の監督義務も含む。
第三者提供の制限義務
本人の同意なく個人情報を第三者に提供してはならない。ただし例外あり（法令・生命保護・公衆衛生・公的機関協力）。
開示・訂正・削除への対応義務
本人から保有個人情報の開示・訂正・削除・利用停止等の請求があった場合、適切に対応する義務。
苦情処理・体制整備義務
個人情報の取扱いに関する苦情を適切・迅速に処理し、処理のための体制を整備する。
①利用目的の特定と変更
利用目的は「できる限り特定」する必要があります。「事業活動に使用するため」などの曖昧な目的は不適切です。
- 変更が許容される範囲：変更前の利用目的と相当の関連性を有する範囲内
- 変更した場合：変更後の利用目的を本人に通知または公表する必要あり
- 目的外利用：原則として本人の同意が必要（例外規定あり）
第三者提供の制限——オプトアウト制度と例外事由
個人情報の第三者提供は原則として本人の同意が必要です。ただし、重要な例外規定があります。
第三者提供が認められる例外（法令に基づく場合等）
| 例外事由 | 具体例 |
|---|---|
| ①法令に基づく場合 | 警察からの照会（犯罪捜査）、税務調査への対応、裁判所命令 |
| ②生命・身体・財産の保護のため必要な場合 | 本人が意識不明で連絡できない時の病歴開示、災害時の安否確認 |
| ③公衆衛生の向上・児童の健全な育成のために必要な場合 | 感染症の拡大防止のための情報共有（本人同意が困難な場合） |
| ④国等の機関への協力（本人同意が阻害になる場合） | 国・地方公共団体の事務への協力（同意取得が困難な場合） |
オプトアウト制度
オプトアウト制度とは、あらかじめ本人に通知・公表の上、個人情報保護委員会への届出を行うことで、本人の同意なく第三者提供ができる制度です。
| 要件 | 内容 |
|---|---|
| 事前の通知・公表 | ①提供目的②提供項目③提供先④提供手段⑤停止申請受付方法 を本人が知り得る状態にする |
| 個人情報保護委員会への届出 | 上記事項を委員会に届け出ること（委員会が公表） |
| 本人からの停止要求への対応 | 本人から「第三者提供を停止して」との申し出があった場合、停止しなければならない |
オプトアウトが使えないケース：要配慮個人情報・不正取得した個人情報・他のオプトアウトで受け取った情報は、オプトアウトによる第三者提供が禁止されています。
第三者に当たらないケース（提供制限が不要）
次の場合は「第三者提供」に当たらないため、本人同意なく情報を渡すことができます。
| ケース | 内容 |
|---|---|
| 委託 | 利用目的の達成に必要な範囲で業務委託する場合（例：発送業務の外注） |
| 事業継承 | 合併・会社分割・営業譲渡に伴う個人情報の引き継ぎ |
| 共同利用 | あらかじめ本人に通知・公表した上で共同利用者の間で利用 |
匿名加工情報・仮名加工情報——2種類の加工済み情報
個人情報を加工して利用しやすくした「匿名加工情報」と「仮名加工情報」は、2015年・2020年改正で導入された制度です。試験では両者の違いと利用規制が問われます。
特定の個人を識別できる
利用規制
利用目的の範囲内で利用
第三者提供は原則同意必要
本人権利
開示・訂正・削除請求可
復元できないように加工
利用規制
公表した目的の範囲内で利用
第三者提供は項目・方法の公表後に可
本人権利
開示・訂正・削除請求不可
他の情報と照合しなければ識別不可
利用規制
内部分析目的に限定
第三者提供は原則禁止
本人権利
開示・訂正等請求の適用除外
匿名加工情報の詳細
匿名加工情報とは、特定の個人を識別できないように個人情報を加工し、かつ、加工前の個人情報を復元できないようにした情報です。
| 加工要件 | 内容 |
|---|---|
| ①特定項目の削除 | 氏名・生年月日等の直接識別情報を削除またはランダム変換 |
| ②個人識別符号の削除 | マイナンバー・指紋等を削除または変換 |
| ③連結可能匿名化の削除 | ID等、元のデータと照合できるコードを削除 |
| ④特異な記述の削除 | 年齢116歳など、単独で個人を識別できる記述を削除 |
| ⑤センシティブ情報の削除等 | 要配慮個人情報等の不正競争防止上問題となる情報の処理 |
仮名加工情報の詳細
仮名加工情報とは、他の情報と照合しなければ特定の個人を識別できないように個人情報を加工した情報です。完全な匿名化はされていないため、内部利用に限定されます。
| 項目 | 仮名加工情報 |
|---|---|
| 加工の程度 | 氏名等を削除・仮IDに置き換え（元に戻す対応表を保持） |
| 主な目的 | 社内でのデータ分析・AIモデルの学習等 |
| 第三者提供 | 原則禁止（例外：委託・共同利用・事業継承等） |
| 本人権利への対応 | 開示・訂正・削除・利用停止請求への対応が不要（義務を適用しない） |
個人情報保護委員会（PPC）の役割
個人情報保護委員会の概要
個人情報保護委員会（PPC：Personal Information Protection Commission）は、個人情報保護法の所管機関として、内閣府の外局に設置された独立した行政機関（行政委員会）です。
| 役割 | 内容 |
|---|---|
| 監視・監督 | 個人情報取扱事業者の法令遵守状況の監視 |
| 報告徴収・立入検査 | 事業者に対し報告を求め、必要に応じて立入検査を実施 |
| 指導・助言 | 法令遵守のための指導・助言 |
| 勧告・命令 | 違反行為の是正勧告。命令違反には刑事罰（1年以下の懲役または100万円以下の罰金） |
| 漏えい等の報告受付 | 個人データ漏えい等が発生した場合の報告義務の受付窓口 |
| ガイドライン策定 | 具体的な取り扱いを示すガイドライン・Q&Aの策定・公表 |
漏えい等の報告義務（2022年改正で義務化）
要配慮個人情報の漏えい等の場合、または1,000件を超える個人データの漏えい等の場合、事業者は個人情報保護委員会への報告と本人への通知が義務付けられています。
試験対策まとめ——頻出ポイント一覧
（死者は原則対象外）
（病歴・人種・信条等）
原則条件
法令・生命・公衆衛生・公的機関
| 頻出ポイント | 内容 |
|---|---|
| 個人情報の対象 | 生存する個人。照合で識別できる場合も含む。 |
| 個人識別符号 | マイナンバー・指紋・顔認識データ等。単体で個人情報。 |
| 要配慮個人情報 | 病歴・人種・信条（宗教・思想・政治）・社会的身分・犯罪経歴等 |
| 要配慮情報の取得 | 原則として本人の同意が必要 |
| 第三者提供の原則 | 本人同意が必要 |
| オプトアウトの使用禁止 | 要配慮個人情報にはオプトアウト不可 |
| 第三者提供の4例外 | 法令・生命保護・公衆衛生・公的機関協力 |
| 第三者に当たらないケース | 委託・事業継承・共同利用 |
| 匿名加工情報 | 復元不可。第三者提供可（適切な手続き後）。本人権利なし。 |
| 仮名加工情報 | 内部利用専用。第三者提供原則禁止。本人権利の適用除外。 |
| 個人情報保護委員会 | 内閣府外局の独立行政委員会。監督・勧告・命令が権限。 |
よくある疑問——FAQ
個人情報保護法は「個人情報の定義（生存する個人・識別可能・個人識別符号）」「要配慮個人情報12類型（病歴・人種・信条等）」「第三者提供の原則（同意）と例外（4類型）」「オプトアウトの要件と禁止場面（要配慮情報には不可）」「匿名加工情報と仮名加工情報の違い（外部提供可否）」の5つの柱で整理すると体系的に理解できます。特に「性別は要配慮情報に含まれない」「要配慮情報へのオプトアウト禁止」「仮名加工情報は第三者提供原則禁止」という細かい規定が試験で問われやすいので、しっかり押さえておきましょう。
