個人情報保護法：個人の情報をどう守るか

ねらい

このレッスンでは、個人情報保護法（こじんじょうほうほごほう）を学びます。

基礎

この法律が何を守るためのものかを身近な例からつかみます。

1. 個人情報保護法は、情報の活用と個人の保護のバランスをとります

個人情報保護法は、個人情報の有用性に配慮しつつ、個人の権利や利益を守ることを目的とする法律です。

この法律には、2つの向きの考えが同時に入っています。1つは、企業が個人情報を役立てて、便利なサービスを生み出せるようにすることです。もう1つは、その情報が本人の不利益にならないよう、扱い方にルールを設けることです。集めた情報を自由に使ってよいわけでも、いっさい使ってはいけないわけでもありません。

AI との関係でいえば、AI は大量のデータから学びます。そのデータに人の情報が含まれるとき、この法律のルールが関わってきます。だから、AI を扱う人にとって、個人情報保護法は身近な法律です。

2. まずは「個人情報」という言葉から

この法律の中心にあるのが、個人情報という言葉です。個人情報とは、生きている個人に関する情報で、その情報から特定の個人を見分けられるものを指します。

たとえば、名前だけでも多くの場合は個人を見分けられるので、個人情報にあたります。名前と住所と顔写真がそろえば、なおさらです。だれの情報か分からない、人数を数えただけの統計は、個人を見分けられないので、個人情報にはあたりません。

AI の学習に使うデータの中に、こうした個人情報が含まれることはよくあります。そのときは、これから見るルールに従って扱う必要があります。

ここまでの要点

• 個人情報保護法は、情報の活用と個人の保護の、両方のバランスをとる法律です。
• 個人情報とは、生きている個人に関する情報で、そこから特定の個人を見分けられるものです。

まずは全体像をつかめれば十分という人は、ここで区切って大丈夫です。「個人情報保護法は活用と保護のバランスをとる」「個人情報は個人を見分けられる情報」と押さえられていれば、この先の深掘りに進む土台はできています。

発展

ここからは、法律が定めるいくつかの用語の意味と、情報の扱い方のルールをもう少しくわしく見ます。似た言葉が並ぶので、何がどう違うのかに注目して読んでください。

3. 個人情報にまつわる用語を整理する

法律は、個人情報を扱いの段階に応じて呼び分けています。まぎらわしいので、順に見ていきます。

まず、個人情報の定義には、もう1つの入り口があります。個人識別符号（こじんしきべつふごう）を含む情報も、個人情報にあたります。個人識別符号とは、それ単体で特定の個人を見分けられる符号のことです。たとえば、指紋や顔の特徴を数値に変換したデータや、一人ひとりに割りふられた公的な番号が、これにあたります。なお、法律は、単体で個人を見分けられる符号のすべてを個人識別符号としているわけではなく、政令で定めたものに限っています。AI が扱う顔認識のデータなどが関わるため、押さえておきましょう。

次に、個人データです。個人データとは、検索できるように整理された個人情報の集まり、つまりデータベースを構成する個人情報を指します。ばらばらの1枚のメモではなく、名簿や顧客管理システムのように整理された状態の個人情報です。他社への提供などのルールは、この個人データを対象に定められています。

さらに、保有個人データ（ほゆうこじんデータ）があります。保有個人データとは、企業が、本人からの求めに応じて開示・訂正・削除などを行う権限を持つ個人データです。本人が「自分の情報を見せてほしい」「間違いを直してほしい」と求める相手は、この保有個人データを持つ企業です。

最後に、要配慮個人情報（ようはいりょこじんじょうほう）です。要配慮個人情報とは、人種や信条、病歴、犯罪の経歴など、取扱いを誤ると不当な差別や偏見につながりかねない、特に配慮が必要な個人情報です。ふつうの個人情報より慎重な扱いが求められ、取得するには原則として本人の同意が必要とされています。

理解の確認

個人情報のうち、データベースとして整理されたものが個人データ、企業が開示や訂正の権限を持つものが保有個人データです。指紋データや公的な番号など、それ単体で個人を見分けられる符号を個人識別符号といいます。差別や偏見につながりうる情報は要配慮個人情報と呼ばれ、取得には原則本人の同意が要ります。

4. 利用目的をはっきりさせる

個人情報を扱うときの、基本のルールがあります。利用目的をできるかぎりはっきり決めることです。

利用目的とは、集めた個人情報を何のために使うのか、という目的のことです。企業は、その目的を具体的に定め、原則として本人に知らせる必要があります。そして、決めた目的の達成に必要な範囲を超えて、情報を使ってはいけません。商品を届けるために集めた住所を本人に断りなく別の宣伝目的で使う、といったことは原則できません。

AI の場面では、この点がとくに問題になります。ある目的で集めたデータを後から AI の学習という別の目的に回してよいかは、当初の利用目的の範囲におさまるかで判断されます。範囲を超えるなら、あらためて手続きが必要になります。

理解の確認

利用目的とは、個人情報を何のために使うかという目的です。企業はこれを具体的に定め、その範囲を超えて情報を使うことは原則できません。集めたデータを後から別の目的で使うときは、当初の利用目的におさまるかを確かめる必要があります。

5. 他社に渡すとき：第三者提供と委託

個人データを自社の外に出す場面には、性質の違う2つがあります。第三者提供と委託です。ここを取り違えないことが大切です。

第三者提供（だいさんしゃていきょう）とは、個人データを本人でも自社でもない他者に渡すことです。個人データを第三者に提供するときは、原則としてあらかじめ本人の同意が必要です。名簿を別の会社に渡して、その会社が自社の目的で使う、といった場合がこれにあたります。

委託（いたく）は、これとは扱いが違います。委託とは、利用目的の達成に必要な範囲で、個人データの取扱いを外部にまかせることです。たとえば、商品の配送を運送会社にまかせるために住所データを渡す場合です。この場合は、渡した先が自社の代わりに作業しているだけなので、原則として本人の同意は要りません。ただし、まかせた先がきちんと安全に扱っているかを監督する義務があります。

同じ「データを外に出す」でも、相手が独立した目的で使うなら第三者提供、自社の目的の作業を代行してもらうなら委託、という区別です。AI 開発を外部の会社にまかせてデータを渡す場合、この区別が関わってきます。

理解の確認

第三者提供とは、個人データを他者に渡して、その相手が独自に使う場合を指し、原則として本人の同意が必要です。委託とは、自社の目的の作業を代行してもらうためにデータを渡す場合で、原則として本人の同意は要りませんが、委託先を監督する義務があります。

6. 情報を加工して使う：匿名加工情報と仮名加工情報

個人情報は、そのままでは使いにくい場面があります。そこで、加工して使いやすくするしくみが用意されています。名前が似ていてまぎらわしいので、違いをはっきりさせます。

匿名加工情報（とくめいかこうじょうほう）とは、特定の個人を見分けられないように加工し、もとの個人情報に戻せないようにした情報です。だれの情報か分からなくしたうえで、復元もできないようにしてあります。個人を見分けられないため、決められたルールを守れば、本人の同意なしに第三者へ提供したり、活用したりできます。多くのデータを集めた分析に向いています。

仮名加工情報（かめいかこうじょうほう）は、これとは目的が異なります。仮名加工情報とは、他の情報と照らし合わせないかぎり特定の個人を見分けられないように加工した情報です。匿名加工情報ほど徹底して個人を消してはおらず、社内で分析に使うことを主に想定しています。原則として、第三者への提供はできません。

2つの違いは、個人を見分けられなくする度合いと、想定する使い道にあります。匿名加工情報は、個人を見分けられなくして外部提供や広い活用に使えるようにしたもの、仮名加工情報は、社内での分析のために扱いをゆるめたもの、と整理できます。AI の学習データを整えるとき、どちらのしくみを使うかで、できることが変わります。

理解の確認

匿名加工情報は、特定の個人を見分けられないよう加工しもとに戻せなくした情報で、ルールを守れば本人同意なしに提供や活用ができます。仮名加工情報は、他の情報と照合しなければ個人を見分けられないよう加工した情報で、主に社内の分析に使い、原則として第三者提供はできません。

7. 海外のルール：GDPR

個人情報の保護は、日本だけの話ではありません。海外にも同じような法律があります。代表的なものが GDPR です。

GDPR（ジーディーピーアール）は、英語で General Data Protection Regulation と表記し、日本語では一般データ保護規則と呼ばれます。ヨーロッパ連合（EU）が定めた、個人データの保護に関するルールです。

GDPR が日本の企業にも関わるのは、適用される範囲が広いためです。EU の中にいる人の個人データを扱う場合には、その企業が日本にあっても、GDPR のルールが関わることがあります。また、GDPR は、EU の外へ個人データを持ち出すことに制限を設けています。国境をこえてデータを扱う AI サービスでは、この点に注意が必要です。細かな要件は制度改正で変わりうるため、実務では最新の内容を確認します。

理解の確認

GDPR は、EU が定めた個人データ保護のルールです。EU の中にいる人のデータを扱う場合には、日本の企業にも関わることがあります。EU の外へデータを持ち出すことには制限があり、国境をこえてデータを扱う場面で注意が必要です。

理解度の確認

本内容は資格学習のための概説であり、法的助言ではありません。実際の判断にあたっては、最新の条文や公式のガイドライン、専門家の助言を確認してください。