保有個人データ

定義

個人情報保護法第16条第4項は、保有個人データを次のように定めています。個人情報取扱事業者が、開示、内容の訂正、追加又は削除、利用の停止、消去及び第三者への提供の停止を行うことのできる権限を有する個人データであって、その存否が明らかになることにより公益その他の利益が害されるものとして政令で定めるもの以外のもの、です。

前提となる個人データは、個人情報データベース等を構成する個人情報のことです。保有個人データはその個人データの一部にあたります。範囲は大きいほうから順に、個人情報、個人データ、保有個人データと狭くなります。

保有個人データと呼ぶには、次の2つを両方満たす必要があります。

• 事業者が、開示、訂正、追加、削除、利用の停止、消去、第三者への提供の停止を自ら行える権限を持っている
• 存否が明らかになると公益その他の利益が害されるものとして、政令で除かれているものではない

つまり、事業者が中身を動かす権限を持つ個人データに限られます。本人からの請求に事業者が応じられるのは、この権限があるからです。

制度の要点

事業者が公表すべき事項

第32条第1項は、保有個人データについて次の事項を公表するよう事業者に求めています。

• 第1号 事業者の氏名又は名称、住所、代表者の氏名
• 第2号 全ての保有個人データの利用目的
• 第3号 開示、訂正等、利用停止等の請求に応じる手続
• 第4号 そのほか政令で定める事項

本人は、この公表を見れば、誰が、何のために自分のデータを持っていて、どう請求すればよいかを知ることができます。

本人が持つ3つの請求権

本人は、自分が識別される保有個人データについて、次の請求ができます。

• 開示(第33条第1項) 電磁的記録の提供による方法その他の、個人情報保護委員会規則で定める方法による開示を請求できます
• 訂正等(第34条第1項) 内容が事実でないときは、訂正、追加、削除を請求できます
• 利用停止等(第35条第1項) 第18条または第19条に違反して取り扱われているとき、あるいは第20条に違反して取得されたものであるときは、利用停止または消去を請求できます

請求が認められる条件は、条ごとに違います。訂正等は内容が事実でないとき、利用停止等は特定の条文に違反しているときです。開示の請求については、第33条第1項に内容についての条件は書かれていません。

AIとの関わり

AIの学習や運用で、事業者が持つ顧客の情報などを使う場面があります。その情報が保有個人データにあたる場合、事業者には次のような点に気をつける必要が生じると考えられます。

• 学習や運用に使うことが公表した利用目的に含まれているかを、あらかじめ確かめておく
• 本人から開示、訂正等、利用停止等の請求があったときに、どのデータが該当するかを探して対応できるように、データの置き場や来歴を管理しておく
• 学習用に複製したデータや加工したデータについても、元のデータと同じように請求への対応が必要になる場合があることを念頭に置く

学習済みのモデルやその出力が保有個人データにあたるかどうかは、データの持ち方や事業者の権限などの事情によって判断が分かれうる問題です。個別の事情ごとに確かめる必要があります。

なお、保有個人データはG検定のシラバス2024に対象キーワードとして載っています。