個人情報とは？定義と具体例、Pマークで管理する範囲を分かりやすく解説

個人情報とは（先に結論）

法律の定義：生きている個人を識別できる情報

個人情報保護法でいう「個人情報」とは、生きている個人に関する情報で、次のどちらかに当たるものです（個人情報保護委員会のガイドライン（通則編） 2-1）。

1. 氏名、生年月日などの記述によって、特定の個人を識別できるもの
2. 個人識別符号（マイナンバーなど、それだけで特定の個人を識別できる番号など）が含まれるもの

「個人に関する情報」とは、氏名や住所のように個人を識別する情報だけでなく、その人の身体、財産、職種、肩書などについての事実、判断、評価を表すすべての情報です。評価の情報や、新聞やホームページなどで公開されている情報、映像や音声も含まれます。暗号化されているかどうかも問いません。

「他の情報と照らし合わせて分かる」ものも含む

その情報だけでは誰のことか分からなくても、他の情報と容易に照らし合わせることができ、それによって特定の個人が分かる場合は、個人情報に当たります。

「容易に照らし合わせることができる」とは、ふだんの業務で使う一般的な方法で照らし合わせられる状態をいいます。たとえば、社員番号だけが書かれた表でも、社内の名簿と照らし合わせれば誰のことか分かるなら、個人情報として扱うことになります。

個人情報に当たるもの・当たらないもの

当たるものの例

個人情報保護委員会のガイドラインは、次のような例を挙げています（ガイドライン（通則編） 2-1）。

• 本人の氏名
• 生年月日、住所、電話番号、メールアドレス、会社での役職や所属などと、氏名を組み合わせた情報
• 防犯カメラに記録された、本人が判別できる映像
• 氏名が含まれるなど、特定の個人を識別できる音声の録音
• 特定の個人を識別できるメールアドレス（メールアドレスだけでも、どの会社の誰のものか分かる場合など）
• 取得したときは誰か分からなくても、後から情報が加わって特定の個人が分かるようになった情報
• 官報、電話帳、新聞、ホームページ、SNSなどで公開されている、特定の個人を識別できる情報

公開されている情報でも、個人情報に当たる点に注意しましょう。

当たらないもの

次のようなものは、原則として個人情報に当たりません（ガイドライン（通則編） 2-1）。

• 法人そのものの情報：会社などの団体は「個人」ではないので、会社名や会社の住所だけの情報は個人情報ではありません。ただし、役員や従業員に関する情報は個人情報です。
• 亡くなった人の情報：個人情報は生きている個人の情報です。ただし、亡くなった人の情報が、同時に遺族など生きている人の情報でもある場合は、その人の個人情報に当たります。

なお、「個人」は日本国民に限らず、外国人も含みます。

名刺や従業者の情報も個人情報

取引先からもらった名刺には氏名が書かれているので、個人情報です。ガイドラインは、名刺の情報を業務用パソコンの表計算ソフトなどに入力・整理している場合を、検索できるように整理された「個人情報データベース等」に当たる例として挙げています（ガイドライン（通則編） 2-4）。

社内の従業者の情報も個人情報です。勤怠記録や給与、健康診断の結果なども含まれます。従業者の情報の扱いは「勤怠記録はPマークでどう扱う？」で説明しています。

似た言葉の違い

個人情報保護法では、「個人情報」のほかに、似た言葉を使い分けています。Pマークの規程や台帳をつくるときにも出てくるので、違いを押さえておきましょう。

個人識別符号（それだけで個人が分かる番号など）

個人識別符号は、その情報だけで特定の個人を識別できるものとして、法令で決められた番号や符号です。個人識別符号が含まれる情報は、それだけで個人情報に当たります（ガイドライン（通則編） 2-2）。身近なものには、次のようなものがあります。

• マイナンバー（個人番号）
• 運転免許証の番号
• 旅券（パスポート）の番号
• 基礎年金番号
• 健康保険の記号・番号など
• 住民票コード
• 顔、指紋、静脈などの身体の特徴を、コンピュータで使えるように変換したデータ

要配慮個人情報（特に配慮が必要な情報）

要配慮個人情報は、本人に対する不当な差別や偏見などが生じないように、取扱いに特に配慮が必要な個人情報です（ガイドライン（通則編） 2-3）。人種、信条、社会的身分、病歴、犯罪の経歴、犯罪の被害を受けた事実、心身の障害、健康診断などの結果などが当たります。

要配慮個人情報を取得したり、第三者に提供したりするときは、原則として本人の同意が必要です。従業者の健康診断の結果も要配慮個人情報に当たるので、取扱いのルールをはっきり決めておく必要があります。Pマークの構築・運用指針にも、要配慮個人情報などの取得についての項目があります（構築・運用指針 J.8.3）。

個人データと保有個人データ

• 個人データ：コンピュータや一定の規則（五十音順など）で検索できるように整理された個人情報の集まり（個人情報データベース等）を構成する個人情報です（2-6）。たとえば、顧客名簿のデータベースに入っている個人情報や、それを紙に印刷した帳票の個人情報です。
• 保有個人データ：個人データのうち、会社が本人からの開示、訂正、利用停止などの請求のすべてに応じる権限を持っているものです（2-7）。

法律では、安全管理措置などの義務は主に「個人データ」に、本人からの開示請求などへの対応は「保有個人データ」にかかります。

仮名加工情報・匿名加工情報・個人関連情報（名前だけ）

このほかにも、個人情報を加工した「仮名加工情報」「匿名加工情報」や、個人情報には当たらない個人に関する情報（Cookieで集めたウェブサイトの閲覧履歴や購買履歴など）である「個人関連情報」という言葉があります（ガイドライン（通則編） 2-8 ほか）。Pマークとの関係は「JISQ15001とは？2023年改正のポイント」で触れています。

Pマークで管理する個人情報の範囲

事業で使うすべての個人情報が対象

Pマークの個人情報保護マネジメントシステム（PMS）は、会社が事業で使っているすべての個人情報を対象にします（構築・運用指針 J.1.4）。構築・運用指針は、従業者の個人情報も事業で使っている個人情報だとしています。

PMSでは、まず会社の個人情報をすべて洗い出し、台帳にまとめます（J.3.1.1）。顧客の情報、取引先の名刺、従業者の情報、採用の応募者の情報など、業務ごとに一つずつ確かめていきます。PMSの全体像は「PMSとは」で説明しています。

法律より広く管理する点

Pマークの構築・運用指針は、法律より広い範囲を管理の対象にしている点があります。

• 個人データ向けの決まりを、特定したすべての個人情報に当てはめる：たとえば従業者の監督（J.9.3）は個人データに対する要求事項ですが、指針は、台帳で特定した個人情報であれば対象になるとしています。
• 仮名加工情報・匿名加工情報・個人関連情報もPMSの範囲に含める：自社の事業で使っているものは、PMSの適用範囲に含めます（個人関連情報は、提供先で個人情報になることが想定される場合）（J.1.4）。

監修者のひとこと

どこまでが個人情報なのか？何が個人情報に該当するのか？というご質問をよく受けます。定義としては、上記に記載のとおりです。ただし、内容によって管理するかどうか、どのように管理するかは異なってきます。一旦全ての個人情報を含む書類・データをリストアップしてから整理していきましょう。

まとめ

• 個人情報とは、生きている個人に関する情報で、特定の個人を識別できるもの（他の情報と容易に照らし合わせて分かるものを含む）、または個人識別符号が含まれるものです。
• 氏名、氏名と組み合わせた連絡先、映像、公開されている情報、名刺、従業者の情報なども個人情報です。法人そのものの情報は当たりません。
• マイナンバーなどの個人識別符号、健康診断の結果などの要配慮個人情報、個人データと保有個人データといった言葉の違いも押さえておきましょう。
• Pマークでは、事業で使うすべての個人情報をPMSの対象にし、法律より広い範囲を管理します。

参考

• 個人情報の保護に関する法律についてのガイドライン（通則編）（個人情報保護委員会）
• プライバシーマークにおける個人情報保護マネジメントシステム構築・運用指針（JIPDEC）
• 制度の概要（JIPDEC）