個人情報保護法

定義

個人情報保護法とは、個人の権利と利益を保護しつつ個人情報の適正かつ効果的な活用を促進するために、情報を取り扱う事業者が遵守すべき義務を定めた日本の法律です。正式名称を個人情報の保護に関する法律と呼び、監督機関である個人情報保護委員会が法律の運用や監視を担います。

身近なイメージとして、この法律は社会を流通する個人データに対する安全ベルトの役割を果たします。事業者が顧客の氏名や購買履歴などを活用して便利なサービスを提供する一方で、本人の意図しない悪用や漏えいから個人を守る境界線を引いています。近年の人工知能開発では、インターネット上の文章や画像から大規模なデータを収集して学習させることが一般的です。そのため、開発者が同意なく学習データに個人情報を取り込んでも法的に問題がないか、利用目的をどのように公表すべきかという判断において不可欠な基準となります。

実務で人工知能を開発する現場では、取得時の利用目的の特定と利用範囲の管理が大きな課題になります。開発初期に想定していなかった用途へ学習データを後から転用すると、目的外利用として法令違反になる恐れがあります。また、外部のクラウド基盤へデータを預けて学習や推論を実行する行為が第三者提供や委託のどちらに該当するのかを正確に見極めなければ、適切な安全管理措置を講じることはできません。

内訳

個人情報保護法では、情報の性質や安全性の度合いに応じて対象を区分し、それぞれ異なる規制を適用します。

• 個人情報: 生存する個人を直接特定できる情報、または他の情報と容易に照合して特定の個人を識別できる情報です。氏名や生年月日だけでなく、顔画像やDNAなどの生体認証データ、マイナンバーや運転免許証番号のように個人を一意に識別するために割り振られた公的な記号も該当します。
• 要配慮個人情報: 人種、信条、社会的身分、病歴、犯罪歴など、不当な差別や不利益が生じる恐れがある情報です。事業者はあらかじめ本人の同意を得なければ取得できず、本人の同意を不要とする例外的な第三者提供手続きも利用できません。
• 仮名加工情報: 他の情報と照合しなければ特定の個人を識別できないように、氏名などの一部を削除または置換した情報です。事業者が自社内部で新たな分析や人工知能モデルの学習に柔軟に活用できるようにする一方で、第三者への提供は制限されます。
• 匿名加工情報: 特定の個人を完全に識別できず、かつ元の個人情報を復元できないように加工した情報です。本人の同意を得ずに第三者へ提供できるため、企業間でのデータ利活用やオープンデータの流通を促進します。

事業者が負う主な法的義務は以下の項目で構成されます。

• 利用目的の特定と公表: 個人情報を取得する際は、利用目的をできる限り具体的に特定し、本人へ通知または公表しなければなりません。
• 目的外利用の制限: 特定した利用目的の達成に必要な範囲を超えて、本人の同意なく個人情報を取り扱ってはなりません。
• 安全管理措置: 個人データの漏えいや滅失を防ぐために、組織的、人的、物理的、技術的な安全対策を講じる必要があります。
• 第三者提供の制限: 個人データを第三者に渡す際は、あらかじめ本人の同意を得ることを原則とします。
• 本人関与の保障: 本人からの求めに応じて、保有個人データの開示、訂正、利用停止などに応じる必要があります。

紛らわしい語との違い

個人情報保護法と関連する法制度や権利概念との違いを整理することは実務および試験対策において不可欠です。

• 不正競争防止法との違い: 不正競争防止法は営業秘密や限定提供データとして企業の営業上の利益や経済的価値を守る法律であるのに対し、個人情報保護法は個人の権利と利益を守るために事業者の義務を定めた法律です。同じデータであっても、保護の主眼と対象者が異なります。
• プライバシーとの違い: 個人情報は法律上の要件を満たす客観的な情報を指しますが、プライバシーは私生活をみだりに公開されない法的な利益や自己の情報をコントロールする権利というより広範な概念です。個人情報保護法の対象外となる情報であっても、利用方法によってはプライバシー侵害が成立する場合があります。