個人情報とは何か？

そもそもプライバシーポリシーとは、一般的に個人情報の取扱いに関する方針を記した文書ですので、プライバシーポリシーを作成する上では「個人情報とは何か？」について知っておくことがとても重要になります。

個人情報とは何ですか？と聞いた際に、「氏名や住所、容姿など個人がわかる情報が個人情報である」と回答する方は結構多いように感じます。

確かに、これらの情報は一般的に個人情報の一部であると言えます。
しかし、「氏名」「住所」「容姿」といった個々の情報の種類にだけ着目してしまうと、誤った判断につながるおそれがあります。

定義を知ろう

そこで、まずは”個人情報”の法律上の定義について確認してみましょう。

個人情報の定義については、「個人情報の保護に関する法律」、略して「個人情報保護法」にその定義が存在しますので引用します。（※太字は筆者によるもの）

（定義）
第二条　この法律において「個人情報」とは、生存する個人に関する情報であって、次の各号のいずれかに該当するものをいう。
一　当該情報に含まれる氏名、生年月日その他の記述等（文書、図画若しくは電磁的記録（電磁的方式（電子的方式、磁気的方式その他人の知覚によっては認識することができない方式をいう。次項第二号において同じ。）で作られる記録をいう。以下同じ。）に記載され、若しくは記録され、又は音声、動作その他の方法を用いて表された一切の事項（個人識別符号を除く。）をいう。以下同じ。）により特定の個人を識別することができるもの（他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなるものを含む。）
二　個人識別符号が含まれるもの

個人情報の保護に関する法律

まず着目するのが、「生存する」という点です。
これはつまり、すでに死亡している者に関する情報というのは個人情報ではない、ということになります。
ただし注意点として、すでに死亡している者の情報であっても、それが同時に生存する者に関する情報である場合は、生存する者にとっては個人情報となります。
例えば、「○年○月○日に亡くなった□山△男さんには、○太郎さんという息子がいる」というような情報は、死亡している△男さんの情報であると同時に○太郎さんの情報でもあるため、○太郎さんにとっては個人情報となる可能性があります。

続いて「個人に関する情報」である点です。
”関する”情報であれば何でも該当しますので、先述のように氏名や住所などに限定されるものではなく、例えば勤務する会社名や役職、携帯電話の番号、マラソン大会の順位なども個人情報となる場合があります。

ここまでの「生存する個人に関する情報」という大きなくくりでは世の中の多くの情報が該当してしまいますが、ここからさらに「特定の個人を識別することができるもの」または「個人識別符号を含むもの」という条件に当てはまるものとして抽出された情報が個人情報となります。

比較的わかりやすいのが「個人識別符号を含むもの」です。
この個人識別符号とは政令で定められており、以下の2種類にわけられます。

• 身体の特徴をコンピュータで処理するために変換した符号
  （例）DNAを構成する塩基の配列、顔の骨格・皮膚の色などによって定まる容貌、虹彩の模様、声、歩行の態様、手の静脈の形状、指紋・掌紋などをコンピュータ用に番号や記号などで符号化したもの
• 発行を受ける者ごとに異なるように割り当てられた公的な番号
  （例）旅券番号、基礎年金番号、運転免許証の番号、住民票コード、マイナンバー、健康保険証の番号と記号など

これらのいずれかの情報を含む、生存する個人に関する情報というのは、個人情報になります。

特定の個人を識別することができる情報とは？

先述のように個人識別符号はわかりやすいのですが、わかりにくく誤解されやすいのが「特定の個人を識別することができるもの」という点です。

こちらも大きく2種類にわけられます。

まず１つ目が、その情報だけで個人を識別することができるというもの。
代表的なものが氏名や顔画像などで、これだけで個人を特定することができるため、こういった情報を含むもの（※詳しくは後述します）が個人情報となります。

そして２つ目が重要で、「他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなるもの」（「容易照合性」と呼ばれたりします）です。
個人情報というと先述の１つ目の点のみを考慮し、この点を考慮していないケースが多いように感じますが、この容易照合性を満たす場合も個人情報となりますので要注意です。

例えば、次のような情報があったとします。

ID	入会日	入会経路	地域
1	2024/06/22	ウェブ	関東
2	2024/06/25	紹介	九州
3	2024/07/02	ウェブ	北陸

この情報だけでは、個人を特定することはできませんので、個人情報ではないように思うかもしれません。

しかし、社内に同時に次のような情報がある場合はどうでしょうか。

ID	氏名	生年月日	住所	血液型
1	小野 ゆかり	1956年07月16日	東京都港区港南33-5-3	O
2	後閑 明美	1953年06月18日	福岡県福岡市東博多区78-34-607	A
3	金 康宏	2023年01月15日	石川県金沢市北東安江12-92-246	B

ここでそれぞれのデータのIDで紐付いている場合、データBの情報を基にすればデータAの情報であっても特定の個人が判明するため（例えばデータAの2行目（ID:2）は福岡在住の後閑さんだとわかる）、データAも個人情報となります。

個人情報の範囲にも注意！

個人情報とは何かを考える上で、もう１つ重要となるのが、その範囲です。

上述のデータA、データBの例にもあるとおり、個人を特定できる情報の項目のみが個人情報となるのではなく、その情報を含むデータの全体が個人情報となります。
個人を特定できる「氏名」欄は、あくまで個人情報の一部である、ということです。

よって、データAもデータBもその全体が個人情報であるとして、個人情報保護法の対象となるデータ（情報）であるということになります。

「データAには個人情報が含まれていないから取扱いに注意しなくてもよい」と考えてしまわないよう、個人情報の範囲についても注意深く確認する必要があります。