そもそも「個人情報」とは何を指すのか？

新聞やテレビで、「〇〇社が個人情報を流出させた」というニュースを目にしたことがある人は多いでしょう。企業や組織が、本来は秘匿しておくべき個人情報を流出することは、個人情報保護法に違反する行為です。

しかし、そもそも「個人情報」とは何を指すのか、その個人情報をどのように扱うと罰則の対象になるのか、なんとなくは分かっていても、詳しくは知らないという人も多いかもしれません。

個人情報保護法は2005年に施行された比較的新しい法律であり、かつ定期的に見直しが行われています。昔のままの知識では、現在のルールに対応できない可能性もあります。

個人情報とは何なのか、企業はそれをどのように扱うべきなのか、政府広報の「個人情報保護」の解説から紹介します。

「個人情報」「個人データ」「要配慮個人情報」は何が違うのか？

個人情報保護法では、個人情報について「生存する個人に関する情報で、氏名、生年月日、住所、顔写真などにより、特定の個人を識別できる情報」と定義しています。

これ以外にも、「他の情報と容易に照合でき、特定の個人を識別することができるもの」も、個人情報に該当します。たとえば「電話番号」も、番号単体では個人の識別はできないものの、氏名などと組み合わせることで特定の個人が識別できるため、個人情報として見なされることもあります。

一方、マイナンバーやパスポート番号、顔認証・指紋認証のデータなど、それ単体で個人が識別できる情報は「個人識別符号」と呼ばれ、この個人識別符号単体で個人情報として扱われます。

個人情報には、特に取り扱いに注意が必要な「要配慮個人情報」というものも存在します。これは他人に公開されることで、本人が不当な差別や偏見などの不利益を被る恐れがある個人情報のことです。たとえば過去に被害を被った事実や、障害が有ること、刑事事件に関する手続きが行われたこと、健康診断や保健指導などの情報などが該当します。

個人情報と非常に似た概念として、「個人情報データベース等」「個人データ」というものも存在します。個人情報データベース等は、特定の個人情報を検索できるよう体系的に構成された、個人情報を含む情報の集合物のことを指す言葉で、簡単にいえば「名簿」のことです。個人データは、顧客情報データベース等を構成する個人情報のことで、氏名・誕生日・住所・電話番号等をまとめたデータを指します。

なお、個人情報は「生存する個人」に限ったもののため、故人に関する情報は保護の対象外です。ただし、故人の情報が生存する遺族に関連する場合は、遺族の個人情報として扱われます。

個人情報が漏えいした際、
まず何をすれば良いのか？

企業がこうした個人情報や個人データを業務で扱う際は、ルールに沿って使用する必要があります。

まず、企業が個人情報を取得・利用する際は、どのような目的で個人情報を利用するのかを特定し、その用途を本人に知らせる必要があります。利用目的外のことで利用する場合は、再度本人の同意を得なければいけません。

個人データについても漏えいが生じないよう、安全に管理するための措置を講じる必要があります。たとえば、データを紙で保管している場合は、鍵のかかるキャビネットに保管し、PCで管理している場合はファイルにパスワードを設定するなどの対策が求められます。

もし個人情報・個人データの漏えいが発生、もしくは発生した恐れがあり、特に個人の権利や利益を侵害する恐れがある場合は、発覚日から3～5日以内に、個人情報保護委員会に報告し、本人にもその旨を伝えなければいけません。

報告・通知の義務があるのは、【1】要配慮個人情報の漏えい、【2】財産的被害の恐れがある漏えい、【3】不正の目的が疑われる漏えい、【4】千人を超える個人データの漏えいの4パターンです。このうち【1】【2】【3】は、1件でも発生したら報告・通知が必要です。

個人情報保護法は3年ごとに見直しされる

この個人情報保護委員会への報告と本人への通知は、2022年3月までは努力義務でしたが、同年4月からは、個人情報保護法の改正により義務化されました。

テクノロジーの発達により、個人情報や個人データは、多くの企業が大量に抱えることができるようになりました。裏を返せば、多くの企業が個人情報漏えいの危険を孕んでいることになります。

漏えいした個人情報が犯罪者グループの手に渡れば、高齢者など個人を狙った強盗や特殊詐欺に悪用される恐れがあります。たとえば、自治会や町内会、同窓会やマンションの管理組合で使われている名簿が狙われるケースもあります。

もし企業が個人情報保護法に違反した場合し、個人情報保護委員会は必要に応じ、その企業に対し報告徴収・立入検査、指導・助言、勧告・命令を行うことができます。これらに応じなかったり、虚偽の報告をした場合は、刑事罰として50万円以下の罰金が科される可能性があります。さらに個人情報保護委員会の命令に違反した場合は、1年以下の懲役または100万円以下の罰金が科される恐れがあります。

個人情報保護法には、3年ごとに見直しが行われる「見直し規定」があるため、今後のテクノロジーの進化に合わせ、さらに厳格化されていくことが予想されます。最新のルールではどのような変更点があるのか、それに対応するために社内の体制をどう変えていくのか、ビジネスパーソンは変わり続ける個人情報保護法のことを、常に気にかけておくべきでしょう。