個人情報保護法（シラバス 法律・倫理1）

範囲が段階的に狭くなる3つの区分

区分	中身	かかる義務の例
個人情報	生存する個人に関する情報で、特定の個人を識別できるもの	利用目的の特定と通知・公表、適正な取得
個人データ	検索できるように整理したデータベースを構成する個人情報	安全管理、第三者提供の制限、委託先の監督
保有個人データ	個人データのうち、事業者が開示や利用停止などをする権限を持つもの	本人からの開示などの請求への対応

ほかの情報と容易に照合して個人を識別できる情報も、個人情報です。個人識別符号は、顔や指紋の特徴データ、旅券番号やマイナンバーなど、それだけで本人を特定できる符号です。要配慮個人情報は、病歴や犯罪の経歴など差別や偏見につながりうる情報を含むもので、取得に原則として本人の同意が要ります。

利用目的

利用目的はできる限り具体的に決め、あらかじめ公表していなければ、取得後すみやかに本人に通知するか公表します。目的の外で使うには、原則として本人の同意が要ります。閲覧履歴などを分析して広告に使うなら、その分析を本人が予測できる程度に書きます。

第三者提供と委託

個人データを他社に渡すには、原則として本人の同意が要ります。ただし、次の3つの場合は相手が第三者に当たらず、同意は要りません。

• 委託：利用目的の範囲で、データの処理を外部に任せる場合。委託元は委託先を監督します。
• 事業承継：合併などで事業ごと引き継ぐ場合。
• 共同利用：項目や利用する者の範囲などを、あらかじめ本人に通知するか本人が容易に知り得る状態にして、特定の相手と共同で使う場合。

このほか、法令に基づく場合なども同意なく提供できます。

個人情報保護委員会は2023年6月、同意なく生成AIサービスに個人データを入力するなら、サービス側がそれを機械学習などに使わないことを十分に確認するよう注意を呼びかけました。

仮名加工情報と匿名加工情報

	仮名加工情報	匿名加工情報
加工の程度	ほかの情報と照合しなければ個人を識別できない	個人を識別できず、元にも戻せない
主な用途	社内での分析	他社への提供
第三者提供	原則としてできない	項目と提供方法を公表し、相手に匿名加工情報だと明示すれば同意なくできる

GDPRと2026年の改正

GDPRはEUの一般データ保護規則で、2018年5月に適用が始まりました。EUにいる人に商品やサービスを提供すれば、EUの外の事業者も対象になりえます。重い違反の制裁金は、2,000万ユーロか全世界の年間売上高の4%の高いほうが上限です。日本とEUは2019年1月から、互いの保護水準を十分と認め合っています。

日本では2026年7月に改正法が公布されました。統計作成等（統計作成と整理できるAI開発を含む）にだけ使うなら同意なく個人データを提供できる特例や、悪質な違反への課徴金などが入っています。施行は原則として公布から2年以内で、2026年10月時点ではまだ施行されていません。