前回の第1回では、個人情報保護法におけるすべての土台となる「個人情報」の定義について解説しました。氏名だけでなく、会員IDやメールアドレスなども、社内の他の情報と「容易に照合」できれば広く個人情報に含まれるというお話でした。
続く第2回となる今回は、企業が厳重に管理しなければならない「個人データ」の定義について解説します。
この連載では、大手IT企業の企業内弁護士（インハウスローヤー）として情報セキュリティ・プライバシー対応を専門としていた弁護士が、企業の皆さまが最低限押さえておくべき個人情報保護法の基本を解説します。
「個人情報」と「個人データ」。日常会話では同じように使われがちですが、法律上の定義は明確に異なります。そして、情報が「個人情報」から「個人データ」へと変わると、企業に課される法的義務の重さが変わってきます。
１「個人データ」の法律上の定義
個人情報保護法において、「個人データ」とは以下のように定義されています（法第16条第3項）。
「個人データ」とは、個人情報データベース等を構成する個人情報をいう。
これだけでは全く分かりませんね。さらに遡って「個人情報データベース等」とは何かを見る必要があります。これは、「特定の個人情報を検索することができるように体系的に構成した、個人情報を含む情報の集合物」を指します。
つまり、集めた個人情報を「あとから検索・抽出できるように整理した状態」にしたものが、法律上の「個人データ」となります。
２ 実務で「個人データ」に該当する具体例
では、ビジネスの現場において、どのような状態が「個人データ」に該当するのでしょうか。大きく2つのケースに分かれます。
① パソコンやクラウドで電子データとして管理しているケース
・ExcelやGoogleスプレッドシートにまとめた顧客リスト、従業員名簿
・顧客管理システム（CRM）や人事管理システムに登録されたデータ
・メールソフトの連絡先（アドレス帳）に登録された情報
これらはシステム上で「氏名」や「会員番号」を入力すれば一瞬で検索できるため、すべて個人データに該当します。
② 紙の書類で管理しているケース
・五十音順にインデックスをつけてファイリングされた契約書
・日付順・あいうえお順に整理された「名刺入れ」や「履歴書」
・目次やバインダーで整理され、特定の個人の情報をすぐに探し出せる状態の書類
意外と見落とされがちですが、紙の書類であっても、ルールに従って整理され、検索可能な状態になっていれば法律上の「個人データ」になります。
会社内で取り扱っている情報は、その多くがリスト化やファイリングをされているかと思います。第1回では、社内の他の情報と「容易に照合」できれば広く個人情報に含まれる、ということを指摘しましたが、「個人データ」の範囲も広いものと考えてよいでしょう。
３「個人データ」になった場合の企業の法的義務
なぜ法律は、ただの「個人情報」と、検索できる状態になった「個人データ」をわざわざ区別するのでしょうか。それは、検索しやすい状態の情報ほど、ひとたび漏洩した際のリスクが爆発的に高まり、悪用された際の影響が大きいからです。
情報が「個人データ」に該当すると、個人情報取扱事業者には主に以下の義務が課されます。
① 安全管理措置を講じる義務（法第23条）
個人データが漏洩・滅失しないよう、企業は適切なセキュリティ対策を講じなければなりません。具体的には、データへのアクセス権限の制限、パスワードの設定、セキュリティ対策ソフトの導入、物理的な施錠管理などが求められます。
② 従業員・委託先の監督義務（法第24条・25条）
個人データを取り扱う従業員に対して適切なセキュリティ教育を行うことはもちろん、システムの開発会社・運用会社や運送業者などに個人データの扱いを委託する場合、委託先が適切な管理を行っているかを厳格に監督する義務が生じます。
業務で生成AIを利用することも最近は多くあると思いますが、これも委託先として整理されることが多いでしょう。適切なセキュリティ管理をしていない状態で、個人データを生成AIに入力することは厳に避けなければいけません。
③ 第三者提供の制限（法第27条）
個人データを本人の同意なしに、他の会社や第三者に渡すことは原則として禁止されます。グループ会社間での共有であっても、原則として事前の同意や適切な手続き（共同利用など）が必要です。
④ 漏洩時の報告・本人通知義務（法第26条）
不正アクセスによる漏洩など、個人の権利利益を害するおそれが大きい特定の漏洩が発生した場合（またはそのおそれがある場合）、企業は個人情報保護委員会への報告と、被害に遭った本人への通知が義務付けられます。また、金融機関など、業界によっては、個人情報であっても同様の義務が課されている場合もあります。
⑤ 不要になったデータの消去努力義務（法第22条）
個人データを利用する必要がなくなったときは、そのデータを遅滞なく消去するよう努めなければなりません（努力義務）。「念のためいつまでも残しておく」という運用のままだと、万が一サイバー攻撃を受けた際の被害を自ら拡大させてしまうことになります。
４ 今回のまとめと今後の予告
今回のポイントをまとめます。
・個人データとは、 個人情報のうち、パソコンやファイルで「検索できるように整理されたもの」。
・企業には、安全管理措置や委託先監督、第三者提供の制限など、重い責任が発生する。
皆さんの会社で扱っている顧客情報や従業員情報は、すでに立派な「個人データ」としてシステムに組み込まれているはずです。まずはそのデータの周りに、適切なアクセス権限やパスワードがかかっているかを確認してみてください。
今後は、上記で触れた、個人データ漏洩時の対応について、実務的な視点を合わせて解説する予定です。
当事務所では、企業のプライバシーポリシー（個人情報保護方針）の作成・見直し、改正法対応や、社内規定の策定、情報漏えい時の対応に関するご相談を承っております。会社規模・事業内容に合わせて、実務に即したサポートをいたしますので、お気軽にお問い合わせください。
