ビジネスを行う上で、避けて通れないのが「個人情報保護法」です。
　「うちは大企業ではないから関係ない」「BtoB（企業間取引）だから大丈夫」と思われている方もいるかもしれませんが、それは大きな誤解です。かつては保有する個人情報の件数が5000件を超えない小規模事業者は除外されていましたが、法改正により、現在では、すべての事業者が個人情報保護法の対象となっています。

　この連載では、大手IT企業の企業内弁護士（インハウスローヤー）として情報セキュリティ・プライバシー対応を専門としていた弁護士が、企業の皆さまが最低限押さえておくべき個人情報保護法の基本を解説します。

　第1回目となる今回は、すべての土台となる「個人情報」の定義についてです。「どこまでが個人情報に含まれるか」の範囲は皆さんの想像以上に広いのです。

「個人情報」とは何か？

　個人情報保護法における「個人情報」は、以下のように定義されています。

【個人情報保護法第2条第1項第1号（一部省略）】
　この法律において「個人情報」とは、生存する個人に関する情報であって、次の各号のいずれかに該当するものをいう。
　（1）当該情報に含まれる氏名、生年月日その他の記述等（…略…）により特定の個人を識別することができるもの（他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなるものを含む。）
　（2）（…略…）

　生存する個人に関する情報であって、特定の個人を識別できるもの、とありますので、多くの方が「氏名や生年月日の他、顔写真や住所のことだろう」と考えがちですが、法律の定義はもっと広いです。
　日常会話で言われる「個人情報」とは、個人のプライバシー（秘密）に関する情報、という意味でのみ用いられていることが多いと思います。
　しかし、実務においてこの範囲を狭く捉えてしまうと、法律違反のリスクを抱えることになります。法律は、以下の2つのアプローチによって、個人情報の範囲を非常に広く設定しているからです。

1つ目のポイント：「当該情報に含まれる記述等」という言葉の意味

　1つ目のポイントは、法律に書かれている「当該情報に含まれる記述等」という言葉です。
　これは簡単に言うと、「その情報の中に書かれている文字や数字、音声や動作の記録のすべて」を指します。ここには、実務上極めて重要な2つの意味があります。

① 氏名が含まれていれば「他のすべての記載」も個人情報になる
　例えば、あるエクセルシートや顧客台帳に「氏名」が記載されていたとします。その場合、同じデータ内（同じ行や同じ書類内）に書かれている、購入履歴、趣味嗜好、単なるメモ、アンケートの回答など、一見それ単体では誰のものか分からない記述も、すべて丸ごと「個人情報」になります。
　「氏名以外の部分はただの雑多なデータだから、他人に漏れても問題ない」とはならないのです。氏名という「核」があることで、周囲のすべての記載が個人情報として保護の対象になります。

② 氏名がなくても、組み合わせで個人が特定できれば該当する
　逆に、直接的な氏名が書かれていなくても、含まれる「記述」の組み合わせによって個人が特定できる場合も個人情報になります。
　例えば、「〇〇株式会社の、営業部の部長で、年齢は〇〇歳、〇月〇日に入社した」という事実が並んでいれば、「あ、これはあの人のことだ」と特定できてしまいますよね。さらに、コールセンターで録音された「本人の音声（音声の記述）」も、声質や話している内容の組み合わせにより、本人を識別できる場合、この「記述等」として個人情報に該当します。
　また、単なる位置情報だけでも、これが多く集積されると、「夜間休日に多く滞在している場所（自宅）」と「平日昼間に多く滞在している場所（勤務先）」が明らかになり、本人を識別できるため、個人情報に該当することもあり得るのです。

2つ目のポイント：「容易照合性」による爆発的な範囲の拡大

　2つ目にして、実務上もっとも注意しなければならないのが、「容易照合性」というルールです。
　法律では、その情報単体では誰のことか全く分からなくても、「他の情報と容易に（通常の業務の範囲内で）照らし合わせることができ、その照らし合わせた情報によって個人を特定できる」のであれば、その元の情報もすべて個人情報に含めるとされています。
　この「容易に照合」とはかなり広範に認められ、通常は社内にあるデータなら、別々に保管されているものでも、容易に照合可能だ、と考えます。
　このルールがあるために、一見すると「ただの記号や数字」にしか見えないデータも、ビジネスの現場では広く個人情報になります。具体的な例を挙げてみましょう。

• 会員ID・顧客番号・社員番号
  「ID：12345」という数字だけを見ても誰だか分かりません。しかし、社内にあるマスターデータや顧客リストと照合すれば、一瞬で氏名や連絡先が分かります。したがって、この「ID」自体が個人情報になります。そして、「ID」と紐づいた情報も、すべて個人情報となります。
• メールアドレス
  　単なる英数字の羅列のアドレスであっても、社内システムで当該顧客の氏名と紐づいて管理されていれば、照合が容易であるため個人情報に該当します。「メールアドレスに氏名や会社名が含まれていれば、そのメールアドレスは個人情報である」という解説がよくされますが、実務の観点から見ると、これはややミスリードだと個人的には思っています。氏名が含まれていなくても、社内で紐づいていれば個人情報なのです。

　「氏名の入っていない、ただのIDリストだから漏洩しても大丈夫」「メールアドレスだけだから法律の対象外だろう」という思い込みは、この「容易照合性」の観点から非常に危険であるということがお分かりいただけるかと思います。

今回のまとめと次回予告

　個人情報保護法を正しく守るための第一歩は、自社が扱っている情報の「本当の広さ」を正しく把握することです。

• 氏名が含まれていれば、同じデータ内にある「他のすべての記述」も個人情報になる。
• 氏名がなくても、複数の記述の組み合わせや、他のデータとの「容易な照合」によって個人が特定できれば、それらもすべて個人情報になる。

　「氏名が載っていないから」「氏名以外の部分だから」と油断して放置されているデータが社内にないか、今一度、この2つの視点から洗い出してみることをお勧めします。
　さらに言えば、ある情報に含まれる「氏名」部分を削除・マスキングなどの加工をしたとしても、加工前の情報を社内のすべての資料・データベースから完全に復元不可能な方法で削除していたり、法律の要件に従って「匿名加工情報」や「仮名加工情報」として作成していない限り、それは個人情報のままなのです。「ぼくのかんがえたさいきょうのとくめいか」をしただけで、必要な管理がなされていないデータが実は多くあるのではないかと思います。

　次回は、これらの個人情報がパソコンやファイルで検索できるように整理された状態、すなわち、実務で厳重な管理が求められる「個人データ」の定義と、その具体的な義務について解説します。