改正個人情報保護法の２条の定義の「個人情報」とは、生存する”個人に関する情報”で特定の個人が識別できるものか、または生存する”個人に関する情報”で個人識別符号が含まれるものを指します。

改正法の条文

まず、改正個人情報保護法の条文を見てみましょう。下線を引いたところが改正された箇所です。

個人情報の定義の拡充？それとも？

個人情報を定義した２条１項に上記のような条文の追加がありましたが、この改正は、「個人情報の定義を拡大、拡充するものではない」と説明されています。国会の審議で次のように答弁がありました。

○山口俊一国務大臣　今いろいろと御指摘をいただきましたように、ビッグデータ時代が到来をしまして、特に政府の成長戦略を進める上でも大変有益とされるパーソナルデータの利活用が求められる一方、これらのパーソナルデータが、現行法上、個人情報の保護対象であるか否か、これが大変曖昧になっておりまして、このために企業とか団体等々はその利活用をちゅうちょしておるというふうな状況になっておるものと認識をいたしております。

お尋ねの保護対象の件でありますが、これは、保護対象を明確化するというふうな観点から現行法において保護対象に含まれると考えられるもの、具体的には、身体の一部の特徴をデータ化したもの等につきましては政令で定めるというふうなことにするものでありまして、個人情報の定義を拡大、拡充するものではないというふうなことであります。

つまり、今回の改正は、個人情報の定義の拡大・拡充ではなく、個人情報の利活用を進める観点から保護対象を明確化したものというわけです。
その観点からは、２条１項１号の追加部分は、改正前の文言の「その他の記述等」がどのようなものを指すかが明確ではなかったので、その具体例を例示したものとなります。
また、２条１項２号の個人識別符号は、その情報単体で特定の個人を識別するものとして、個人情報の範囲を明確化したものです。

個人識別符号は、立法の経過も含めると説明が長くなりますので、今回の記事は、個人識別符号を除く部分をまず説明します。個人情報の定義の拡大・拡充が目指されていたことについても、次回に検討します。

個人に関する情報とは

「個人情報」は、生存する「個人に関する情報」であることを前提にしています。

どのような情報が含まれるか

個人に関する情報には、個人の精神、身体、身分、社会的地位、財産その他一切の個人に関する事実、判断、評価を表わすすべての情報が含まれ、次のようなものを例示としてあげることができます。

• 精神･･･思想、信条、政治的主張、宗教
• 身体･･･健康状態、身体的特徴、病歴、遺伝子、顔画像、声紋、指紋
• 身分（生活・家庭）･･･氏名、生年月日、住所、本籍、家族関係
• 社会的地位･･･学歴、犯罪歴、職業、資格、肩書き、所属団体
• 財産･･･財産額、所得、納税額、金融取引、不動産取引

また、文字だけではなく、防犯カメラによる映像や録音による音声も含まれます。

法人その他の団体に関する情報

個人に関する情報には、法人その他の団体に関する情報は含まれません。
個人情報保護法は、個人の権利利益の保護を目的としており（１条）、その保護の対象は自然人である個人に関する情報であるため、法人その他の団体に関する情報は対象外とされるからです。法人その他の団体に関する情報については、法人の機密保持の問題として別に取り扱われることになります。
なお、法人その他の団体についても、自己に関する誤った情報が利用されている場合に、訂正や利用停止を求める制度を設けている外国の例があり、秦野市では、で法人その他の団体が自己情報の開示を請求することができる制度を設けているとのことです（秦野市個人情報保護条例４２条、宇賀克也『個人情報保護法の逐条解説［第５版］３７頁』有斐閣）。

ここにいう「法人」とは、営利を目的とする会社に限定されません。学校法人、宗教法人、社会福祉法人、公益法人、特定非営利法人等の法人格を有するものをいいます。
「その他の団体」とは、法人ではないが特定の目的のために多数人が集合したものをいいます。
これらの法人やその他の団体の役員に関する情報は、法人等の行為を行う機関としての情報であると同時に、個人に関する情報であることもあります。

個人事業主に関する情報

個人事業主の当該事業に関する情報はどうでしょうか。これも個人に関する情報に含まれます｡なぜかといえば、個人事業主の当該事業に関する情報と個人に関する情報とを区別することは難しいからです（行政機関等個人情報保護法制研究会第８回議論の内容）。また、個人情報保護法は、個人の権利利益の保護を目的としていて（１条）、その対象は、個人の精神、身体、身分、社会的地位、財産その他一切の個人に関する事実、判断、評価を表わすすべての情報まで及んでいることも理由の一つです。

外国人の情報

個人情報保護法は、その対象を「個人」に関する情報としており、この個人には外国人も含まれます。

公務員の情報

公務員は、「個人」から除外されていません。
しかし、公務員の氏名等の個人情報が法令によって開示されることがあります。たとえば、情報公開法５条１号ハでは、行政文書の開示請求に対して、公務員の情報が職務の遂行に係る情報であるときは、当該公務員等の職及び当該職務遂行の内容に係る部分は公開を義務付けています。また、政治倫理の確立のための国会議員の資産等の公開等に関する法律（平成４年１２月１６日法律第１００号）では、国会議員の資産について公開することが義務付けられています。

死者の情報

個人情報は「生存する個人」に関する情報に限定されています。
同じように個人情報を「生存する個人」に関する情報に限定していた旧法は、その理由として、①同法は個人情報の本人の権利利益を保護することを目的とするものであり、死者に関する情報の保護によって遺族等の第三者の権利利益を保護することを意図していないこと、また、②死者に関する情報本人が開示請求権を行使することができないなど同法の対象とする意義に乏しいことをあげていました（総務庁行政管理局監修『逐条解説個人情報保護法［新訂版］』（第一法規、１９９１年）５４－５５頁）。本法もこれと同様の理由に立っています（衆議院個人情報の保護に関する特別委員会議事録第６号３３頁・平成１５年４月１８日、同第８号１７頁・平成１５年４月２２日藤井政府参考人答弁、同会議録第７号２３頁・・平成１５年４月２１日宇賀参考人答弁）。

なお、個人情報保護法検討部会の「我が国における個人情報保護システムの在り方について（中間報告）」（１９９９年１１月）や個人情報保護法制化専門家委員会の「個人情報保護基本法制に関する大綱案（中間整理）」（２０００年６月）は、個人情報を「生存する個人」に限定していませんでした。しかし、日本医師会から「医療の分野においては、患者が亡くなった後に、その症例を分析検討する機会が多いことから、死者の個人情報についても、慎重に検討されたい」（個人情報保護基本法制に関する大綱案（中間整理）に対する意見）との指摘があった経緯があります。

さらに、一見死者に関する個人情報と考えられる情報であっても、同時に、遺族等の生存する個人自身の個人情報と考えられる情報については、当該生存する個人に関する情報として、個人情報保護法の対象となります（前掲藤井答弁）。これは、死者と遺族等との間に特に密接な関係のある場合には、死者に関する情報が社会通念上同時に遺族等に関する情報と考えられる余地が高くなると考えられるからです。

死者の情報が同時に遺族等の情報と考えられる場合については、いろいろなケースがあり、立法当時、その基準は明らかではなく、今後実態を踏まえながら検討していくと説明されました（前掲藤井答弁）。

一般的な具体例としては、未成年の子どもに関する教育情報、相続財産に関する情報、医療情報（例：診療録、遺伝子情報、薬の副作用情報）などが考えられるでしょう。

遺族の中でも、死亡した時点で未成年であった子どもの親権者については、特別の配慮が必要となるでしょう。親権者は、子どもが生存している場合には、法定代理人として請求できる場合があり（２８条）、子どもに対して監護権もありますから、親権者が死亡した時点で未成年であった子どもの情報を請求する場合には、社会通念上、請求者自身の個人情報をみなすことができる場合があると考えられます。
裁判例においても、「親権者であった者が死亡した未成年の子どもの個人情報の開示を求めているという場合については、社会通念上、この子どもに関する個人情報を請求者自身の個人情報と同視し得るものとする余地もあるものと考えられる」として、親権者の開示請求を認めたものがあります（町田市の中学校の作文開示請求事件：東京高判１９９９年８月２３日判時１６９２号４７頁）。

評価情報

個人に関する情報には、個人に関する事実のみならず、他人が個人に関して下した判断、評価を表す情報（評価情報）も含まれます。
評価情報として従来、地方自治体の条例に基づき開示請求が行われてきたものとして、措置入院の鑑定書などの医療記録や、内申書、指導要録等の教育情報があります。これらの情報の中には、医師の診断や教師の生徒に対する所見などが含まれますが、これらもすべて患者本人あるいは当該生徒の個人情報となります。

公知の情報

個人に関する情報には、公知の情報も含まれます。
官報、電話帳、職員録、法定開示書類（有価証券報告書等）、新聞、ホームページ、ＳＮＳ（ソーシャル・ネットワーク・サービス）等で公にされている個人に関する情報などが含まれます（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」６頁参照）。

個人識別性

個人情報であるためには、特定の個人を識別することができる情報（いわゆる個人識別情報）であることが必要です。
「当該情報に含まれる氏名、生年月日その他の記述等…により特定の個人を識別することができるもの」という条文の解釈や個人識別性とは何かが問題となります。

誰がどのように判断？

特定の個人が識別される情報には、氏名のようにそれ自体として特定の個人を識別することができる情報だけでなく、役職名、病歴などその他の記述等によって特定の個人を識別することができるものが広く含まれます。

さて、それでは一体誰が、この個人を識別するのでしょう。これは、個人情報を保有する個人情報取扱事業者が判断をします（参考：第１８９回国会衆議院内閣委員会議録第２号・平成２７年３月２５日）。
そして、識別性の判断基準は、一般人の判断力や理解力をもって、生存する人物と情報との間に同一性を認めることができるかどうかによるとされています。

○服部高明政府参考人　容易照合性でございますが、当該情報を保有する事業者において、他の情報との照合により特定の個人を識別することが可能か否かにより判断するものでございます。

そして、個人識別性の判断基準は、これまでの解釈と変わることなく、社会通念上、一般人の判断力や理解力をもって、情報の分析等によって生存する具体的な人物と情報との間に同一性を認めるに至ることができるか否かという基準によります（第１８９回国会衆議院内閣委員会議録第４号・平成２７年５月８日）。

個人を特定しないが識別はする情報は？

さて、この個人識別性についてはたいへん厄介な問題があります。条文は「特定の個人が識別される」と書かれているので、「特定」の個人が識別されない限り、個人情報保護法が保護の対象とし、個人情報取扱事業者が一定の義務を負担する「個人情報」に該当しないのではないかという疑問がわいてくるわけです。
そうだとすると、個人は特定されないものの識別はされる情報は、個人情報保護法の対象外となり、その利用はいわば野放しとなってしまうわけです。

改正法の立法過程で、「パーソナルデータの利活用に関する検討会」の下に置かれた「技術検討ワーキンググループ」の報告書（２０１３年１２月１０日）では、概念を次のように整理しています。ここでは、「特定」とは、「ある情報が誰の情報であるかが分かること」で、「識別」とは、「ある情報が誰か一人の情報であることが分かること」（ある情報が誰の情報であるかが分かるかは別にして、ある人の情報と別の人の情報を区別できること）としています。

この分類は、「パーソナルデータの利活用に関する検討会」の最終のまとめである「パーソナルデータの利活用に関する制度改正大綱」には記載はされてはいません。改正個人情報保護法が、識別非特定情報を「個人情報」の範囲からすべて除外したと断定してよいのかは不明なところがあります。

容易照合性

他の情報との照合については「容易に」照合しうることを要件とします。

識別について容易性が要件とされたのは、民間部門の営業の自由への配慮から個人情報をある程度限定する必要があるからです（宇賀克也「行政機関等の保有する個人情報の保護に関する法制の充実強化について（上）」ジュリスト１２１６号（２００２年）１０３頁）。
一方、行政機関個人情報保護法や独立行政法人等個人情報保護法では、「容易に」は要件とはなっていません。

どのような場合が「容易に」照合しうることになるのか

これについては、解釈に委ねられています。国会の審議では、次のように説明されました（第１８９回国会衆議院内閣委員会会議録第２号８頁・平成２７年３月２５日）。

○服部高明政府参考人

例えば、それ自体は個人識別性がない情報につきまして、特別の調査を行ったり、特別の費用や手間をかけることなく、個人を識別する他の情報との照合が可能な場合には、容易照合性があると考えられます。

具体的には、個人情報取扱事業者が、氏名、生年月日、住所、電話番号が記載された顧客リストを保有しており、これとは別に商品購入履歴のリストがある場合におきまして、それぞれのリストに共通の整理番号が付され、それをもとにある商品購入履歴が特定の顧客にひもづく場合には、容易照合性があるものとして商品購入履歴も個人情報に該当することとなると考えられます。

この答弁を見る限り、特別の費用や手間をかけずに照合が可能であれば容易照合性があるということになります。この「特別の費用や手間をかけるに照合が可能」ということが具体的にどのような場合を指すのかはやはりはっきりしません。

複数のデータベースはどうか

国会審議では、次のように、１つの企業がデータベースを複数持っている場合に、容易照合性があるのかについて、次のようなやり取りもありました（第１８９回国会衆議院内閣委員会会議録第４号・平成２７年５月８日）。

○高井委員　そのあたり、どういうケースが容易照合性があるかというところが今後なかなか難しい判断というか、これも政省令でまた決めていくということなのかと思います。

それでは、その容易照合性の話で、これも何度かお聞きしているんですけれども、今回、個人情報の定義として、「他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなるものを含む。」、法律上そうなっている。これは現行法でもそうですね。

一方で、行政機関の個人情報保護法というのがあります。この行政機関が使う個人情報保護法では、この「容易に」という文言はないんですね。つまり、二つの法律で「容易に」という文言を入れる入れないで、差がはっきりと設けられているわけです。

ところが、現行の実態を見ると、では、どこまで、どれを容易にという、ガイドラインなんかを見ても、ほとんど実態の差がない状況だと思います。

今回、こういった利活用を促進するという法改正をする、目的にも新たにそういう文言を入れるわけですから、この法改正後は、この「容易に」というところにしっかり差を設けるべきではないかと思います。

それについてお考えをお聞きしたいのと、この問題が解決しないと、個人情報の範囲というのは結局広がったままになって、利活用の促進というのが進まないと考えます。例えば、社内規定などでしっかり厳格に管理しているような場合にはこの容易な照合には該当しないというくらいの解釈の変更をしてはどうかと思います。

現実に、今の現行法の解釈、ガイドラインでは、例えば個人情報のデータベースとそれを匿名化したデータベースというのがあって、では、その両方のデータベースに一人の人間がアクセスしたら、もうそれは容易照合性なんだと判断されるんじゃないかとガイドラインでは読めるんです。およそ、データベースを二つに分けて、それぞれ担当者を置くなんていうことは、どんな大企業でもできることじゃない。ましてや中小企業でそんなことができるはずがない。もっと言えば、社長が一人、両方アクセスもできないのかというようなことになると思います。

そう考えると、一人の人間がアクセスできれば個人情報に全部該当してしまうというような解釈は私はおかしいと思うんですけれども、改正法でもそうなるんでしょうか。

○向井治紀政府参考人

委員御指摘のような、社内規定などで厳格に管理されている場合についても、例えば事業者内部での技術的な照合が相当困難であるとか、独立したデータベースをそれぞれ別の管理者が管理し、社内規定等により容易にアクセスできないようになっているなどの、事業者内部において通常の業務における一般的な方法で照合が不可能となっているものの、例えばシステムを管理して、システムを管理といっても、メンテナンスをするような技術者、業務に関係のないような技術者が、たまたまきょうそこにアクセスをされるような場合があったからといって、直ちにこれが容易照合性があるというふうには解釈するべきではないと考えておりまして、そういう、一般的な方法で照合が不可能になっているものであれば、容易に照合できるような状態にないと解釈することはあり得るものと現行法でも考えております。

この政府参考人の答弁は、別々のデータベースで管理し、別の管理者が管理して容易にアクセスができない状態になっていれば、容易照合性はないと受け取られる内容となっています。「別々のデータベースで管理しているならば容易照合性がない」とする立場のことを「アクセス制御説」と呼び、個人データ保護の趣旨からして制度が根底から瓦解するとの批判があります（高木浩光「宇賀克也『個人情報保護法の逐条解説』第5版を読む・前編（保護法改正はどうなった その5）」）。

この容易照合性の問題について、個人情報保護委員会は、「個人情報の保護に関する法律についてのガイドライン（通則編）」（６頁）で、次のように説明しています。

「他の情報と容易に照合することができ」るとは、事業者の実態に即して個々の事例ごとに判断されるべきであるが、通常の業務における一般的な方法で、他の情報と容易に照合することができる状態をいい、例えば、他の事業者への照会を要する場合等であって照合が困難な状態は、一般に、容易に照合することができない状態であると解される。

「他の事業者への照会を要する場合等」という例示はありますが、それ以外は明示されていませんので、容易照合性の問題は、今後、個人情報保護委員会や認定個人情報保護団体の助言や判断で事例の積み重ねによって明確化されてくるものと思われます。
新しい法律や、個人情報のように新しい技術に対応しなければならない分野にあっては、解釈に委ねられる部分が出てくるのは仕方がないところです。ただし、たとえ解釈に委ねられるとしても、個人情報保護法の目的や基本理念に沿って解釈がなされなければなりません。

＊本投稿は、拙著『個人情報保護法　逐条分析と展望』青林書院２００３年）に、改正部分を加筆し修正したものです。

この 作品 は クリエイティブ・コモンズ 表示 – 非営利 – 改変禁止 4.0 国際 ライセンスの下に提供されています。