プライバシー保護に関する法規・ガイドライン
このノートの問いがそのまま復習カードになり、忘れかけたころに出題されます。
シラバス案 Ver.0.1 の小分類 1「プライバシー保護に関する法規・ガイドライン」（大分類 7：倫理・コンプライアンス／中分類 29：プライバシー関連法規）。
2026-09-26 にシラバス本文と突合済み。
0. 何を押さえるか
中心は個人情報保護法の言葉の定義です。似た言葉が入れ子になっていて、外側ほど広い範囲を指します。
| 用語 | 何か | 範囲 |
|---|---|---|
| 個人情報 | 生存する個人を識別できる情報 | いちばん広い |
| 個人データ | 個人情報のうち、データベース化されたもの（を構成する個人情報） | ↓ |
| 保有個人データ | 個人データのうち、事業者が開示・訂正・消去などの権限を持つもの | いちばん狭い |
これとは別の切り口で、次の 3 つがあります。
| 用語 | 何か |
|---|---|
| 個人識別符号 | それ単体で個人を特定できる符号（指紋データ、マイナンバー、旅券番号など） |
| 要配慮個人情報 | 差別や偏見につながりうる、とくに慎重に扱う個人情報（病歴・犯罪歴など） |
| 匿名加工情報 | 個人を特定できず、元に戻せないように加工した情報 |
取り違えやすい分かれ目は次の 3 つです。
- 本人が請求できる（開示・訂正・利用停止など）のは保有個人データ。個人情報全般ではない
- 匿名加工情報は元に戻せない。他の情報と照らし合わせれば分かる程度の加工は仮名加工情報で、別物
- GDPR は EU の外の企業にも適用される（EU の人のデータを扱えば日本企業も対象）
1. 個人情報保護法の定義
根拠: シラバス 7-29-1
正式名称は「個人情報の保護に関する法律」。個人情報を扱う事業者の義務と、監督する個人情報保護委員会を定めています。
個人情報保護法でいう「個人情報」とは？
生存する個人に関する情報で、特定の個人を識別できるもの（個人情報保護法 2 条 1 項）
| 当たる例 | 理由 |
|---|---|
| 氏名、顔写真 | それで本人が分かる |
| 社員番号と名簿を容易に照合できる場合の社員番号 | 照合すれば本人が分かる |
| 個人識別符号を含む情報 | それ単体で本人が分かる |
亡くなった人の情報は対象外（生存する個人に限る）。法人の情報も対象外。
個人識別符号とは？ 2 種類を挙げよ。
それ単体で特定の個人を識別できる符号として、政令で定められたもの（個人情報保護法 2 条 2 項）
| 種類 | 例 |
|---|---|
| 身体の特徴を電子計算機用に変換したもの | 指紋データ、顔認識データ、DNA の塩基配列、虹彩 |
| サービス利用やカード・書類に割り当てられた番号 | マイナンバー、旅券番号、運転免許証番号、基礎年金番号 |
これを含む情報は、名前が無くてもそれだけで個人情報になる。
電話番号やメールアドレスは個人識別符号ではない。
個人データと保有個人データの違いは？
| 用語 | 中身 |
|---|---|
| 個人データ | 個人情報データベース等（検索できるよう体系的に整理した集合物）を構成する個人情報 |
| 保有個人データ | 個人データのうち、事業者が開示・訂正・追加・削除・利用停止・消去・第三者提供の停止を行う権限を持つもの |
どちらも個人情報保護法 16 条で定義される。
本人が開示などを請求できるのは保有個人データ。
委託を受けて預かっているだけのデータは、受託者にとっては保有個人データではない（権限が委託元にある）。
要配慮個人情報とは？ 扱いはふつうの個人情報とどう違うか？
本人に対する不当な差別・偏見などが生じないよう、取扱いにとくに配慮を要する個人情報（個人情報保護法 2 条 3 項）
人種、信条、社会的身分、病歴、犯罪の経歴、犯罪により害を被った事実など。
| ふつうの個人情報 | 要配慮個人情報 | |
|---|---|---|
| 取得 | 利用目的を示せば取得できる | 原則、本人の同意が必要 |
| オプトアウトによる第三者提供 | 要件を満たせば可 | できない |
匿名加工情報と仮名加工情報の違いは？
| 加工の程度 | 本人の同意なしの第三者提供 | |
|---|---|---|
| 匿名加工情報 | 特定の個人を識別できず、元の個人情報に復元できないように加工 | できる（一定のルールのもと） |
| 仮名加工情報 | 他の情報と照合しない限り個人を識別できないように加工 | 原則できない（社内での分析に使う想定） |
元に戻せるかどうかが分かれ目。匿名加工情報はビッグデータとして外部と流通させるための仕組み。
個人情報保護委員会とは？ 事業者が情報漏えいを起こしたらどうするか？
個人情報保護法を所管し、事業者を監督する国の機関（内閣府の外局）
一定の漏えい等（要配慮個人情報を含むもの、不正に使われると財産的被害が出るおそれがあるもの、不正アクセスなど不正の目的によるもの、本人の数が 1,000 人を超えるもの。そのおそれがある場合も含む）が起きたときは、
事業者は個人情報保護委員会への報告と本人への通知をしなければならない。
個人情報保護委員会は、法律の解釈や具体例を示すガイドラインも公表している。
2. マイナンバー法とマイナンバー制度
根拠: シラバス 7-29-1
正式名称は「行政手続における特定の個人を識別するための番号の利用等に関する法律」。
マイナンバー制度とは？ マイナンバーを使える場面は？
住民票を持つ全員に 12 桁の個人番号（マイナンバー）を付け、行政機関の間で情報を正確につなぐ制度
利用できる場面は法律で社会保障・税・災害対策などに限定されている。
会社が扱うのも、源泉徴収票や社会保険の手続など法律で決められた事務だけ。
マイナンバー法（行政手続における特定の個人を識別するための番号の利用等に関する法律）は、個人情報保護法より何が厳しいか？
| 個人情報保護法 | マイナンバー法 | |
|---|---|---|
| 利用目的 | 事業者が定めて通知・公表すれば幅広く可 | 法律で決められた事務に限る |
| 本人の同意による目的外利用 | 同意があれば可 | 同意があっても不可（社員番号や顧客管理に使うのは違法） |
| 提供・収集 | 同意などで可 | 法律で認められた場合に限る |
マイナンバーは一生変わらず、あらゆる情報のひも付けに使えてしまうので、厳しく縛られている。
3. 海外の規則
根拠: シラバス 7-29-1
一般データ保護規則（GDPR）とは？ 日本の企業に関係するか？
EU の個人データ保護に関する規則（General Data Protection Regulation。2018 年 5 月適用開始）
EU 域内の人のデータを扱えば、EU の外の企業にも適用される（域外適用）。
EU 域外への個人データの移転を厳しく制限し、違反には高額の制裁金がある。
日本は EU から、十分なデータ保護の水準があると認められている（十分性認定）。
忘れられる権利（消去権）とは？
本人が、自分に関する個人データを消去するよう求められる権利
GDPR で消去権として明文化された。
不要になったデータ、同意を撤回したデータなどについて、事業者に遅滞なく消去させられる。
ネット上の古い記事の検索結果からの削除請求が、典型的な例として知られる。