---

あなたの情報、守れていますか？今日からできる個人情報の基礎知識

---

なぜ今、個人情報の知識がビジネスパーソンに必要なのか

私たちは日々、意識的、無意識的にかかわらず、膨大な量の「個人情報」に接しながら生活しています。

スマートフォンのアプリを利用するとき、オンラインでショッピングをするとき、あるいは勤務先で顧客リストを扱うとき。

デジタル技術が社会の隅々まで浸透した現代において、個人情報は、経済活動やコミュニケーションを円滑にするための重要な「燃料」となっています。

しかし、その利便性の裏側には、常に情報漏えいや不正利用といった深刻なリスクが潜んでいます。

ひとたび個人情報が流出すれば、金銭的な被害はもちろんのこと、個人のプライバシーが侵害され、精神的な苦痛を被るだけでなく、企業の社会的信用は失墜し、事業の存続すら危ぶまれる事態に発展しかねません。

特にビジネスの現場では、顧客情報や従業員情報など、機密性の高い個人情報を日常的に取り扱います。

このため、すべてのビジネスパーソンにとって、個人情報保護に関する正しい知識を身につけ、それを日々の業務で実践することは、もはや一部の専門家のための課題ではなく、基本的なビジネスリテラシーの一つと言えるでしょう。

「自分は専門部署ではないから関係ない」、「うちは大企業ではないから大丈夫」といった考えは、もはや通用しません。

たった一人の従業員の不注意が、組織全体に計り知れない損害をもたらす可能性があるのです。

この現実は、2022年4月に施行された改正個人情報保護法によって、さらに重みを増しています。

この改正により、個人情報の漏えい等が発生した場合の本人への通知や個人情報保護委員会への報告が義務化され、法令違反に対する罰則も大幅に強化されました。

これは、国が個人情報の取り扱いに対して、これまで以上に厳格な姿勢で臨んでいることの表れです。

本稿では、「そもそも個人情報とは何か？」という基本的な定義から、個人情報保護法の核心的な考え方、ビジネスシーンで特に注意すべき具体的な場面、そして万が一の事態に備えるための対策まで、すべてのビジネスパーソンが知っておくべき個人情報保護の基礎知識を、体系的かつ実践的に紹介していきます。

自分の情報、そして顧客や取引先から預かっている大切な情報を守るための第一歩を、ここから踏み出しましょう。

そもそも「個人情報」とは何か？

個人情報保護を考える上で、全ての出発点となるのが「何が個人情報にあたるのか」を正確に理解することです。

法律（個人情報保護法）では、その定義が明確に定められています。

日常会話で使う「個人情報」という言葉よりも、その範囲が広い可能性があることを、まずは認識する必要があります。

個人情報保護法における「個人情報」の定義

個人情報保護法第2条第1項では、「個人情報」を次のように定義しています。

「生存する個人に関する情報であって、当該情報に含まれる氏名、生年月日その他の記述等により特定の個人を識別することができるもの（他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなるものを含む。）、又は個人識別符号が含まれるもの」

この定義は、大きく二つの部分に分けることができます。

それぞれの内容を詳しく見ていきましょう。

特定の個人を識別できる情報

これが、個人情報の最も中心的な定義です。

ポイントは、「特定の個人を識別できる」かどうか、という点です。

単体で個人を識別できる情報

氏名がその典型です。

「鈴木一郎」という氏名は、それだけで特定の個人を識別するための情報となります。

その他にも、以下のようなものが該当します。

・住所

・電話番号

・メールアドレス（氏名や所属組織が推測できるもの）

・顔写真や顔の映像

・SNSのアカウント情報（顔写真や実名で利用している場合）

他の情報と容易に照合することで個人を識別できる情報

単体では誰の情報か分からなくても、他の情報と簡単に組み合わせることで特定の個人が分かってしまう場合、その情報も個人情報に含まれます。

この「容易に照合できる」とは、必ずしも同じ組織内にある情報に限られません。

例えば、公開されている情報（電話帳や職員録など）と組み合わせることで個人が特定できる場合も含まれます。

（具体例）

・従業員番号：社内の名簿と照合すれば、誰であるかすぐに分かります。

・購買履歴：会員IDと紐づけられていれば、誰が何を買ったか特定できます。

・ウェブサイトの閲覧履歴：Cookie情報と会員IDを組み合わせることで、特定の個人の行動を追跡できます。

・音声データ：声紋認証技術などにより、個人を識別できる可能性があります。

個人識別符号が含まれる情報

2017年の改正個人情報保護法で新たに導入された概念です。

これは、その情報単体で、特定の個人を識別できるような、公的な番号や身体的な特徴に関するデータを指します。

他の情報と照合する必要なく、それ自体が個人情報となります。

身体の一部の特徴を電子計算機のために変換した符号

・DNA情報

・顔認証データ

・指紋認証データ

・虹彩、声紋、歩行の態様など

公的なサービスや書類において個人に割り当てられる符号

・マイナンバー（個人番号）

・運転免許証の番号

・パスポートの番号

・基礎年金番号

・健康保険の被保険者証の記号・番号

・住民票コード

「死者の情報」は個人情報にあたるのか？

個人情報保護法の定義は、「生存する個人に関する情報」とされています。

したがって、原則として、亡くなった方の情報は個人情報保護法の対象外となります。

しかし、注意が必要です。

亡くなった方の情報であっても、その情報が同時に、ご遺族など「生存する個人」に関する情報でもある場合には、その遺族の個人情報として保護の対象となることがあります。

（例：「故〇〇氏の長男、△△氏」という記述がある場合、△△氏の個人情報にあたる）

また、企業によっては、プライバシーポリシーなどで、亡くなった顧客の情報も個人情報と同様に扱うと定めている場合があります。

法人情報は個人情報ではない

個人情報保護法が保護するのは、あくまで「個人」の情報です。

したがって、法人（企業や団体）そのものに関する情報は、個人情報にはあたりません。

例えば、「株式会社〇〇の所在地」や「代表電話番号」、「資本金」といった情報は、法人情報であり、個人情報保護法の対象外です。

ただし、法人情報の中に、役員や従業員の氏名など、個人の情報が含まれている場合は、その部分は個人情報として扱われます。

個人情報保護法の3つの基本原則

個人情報保護法には、事業者が個人情報を取り扱う上で遵守すべき、数多くのルールが定められています。

これらのルールは複雑に見えるかもしれませんが、その根底には、個人の権利利益を守るための、大きく3つの基本原則が存在します。

この原則を理解することが、法律の趣旨を掴む上で非常に重要です。

原則1：取得・利用における原則（目的の特定と制限）

これは、「何のために個人情報を集めるのかを明確にし、その目的以外には使ってはならない」という原則です。

利用目的の特定と明示（第17条）

事業者は、個人情報を取得する際に、その利用目的をできる限り具体的に特定し、本人に通知または公表しなければなりません。

「事業活動のため」といった曖昧な目的は認められず、「〇〇商品の発送のため」、「△△サービスの提供のため」、「□□に関するお問い合わせへの回答のため」といったように、本人が自分の情報が何に使われるのかを明確に予測できるレベルまで具体化する必要があります。

目的外利用の禁止（第18条）

一度特定した利用目的の達成に必要な範囲を超えて、個人情報を取り扱うことは、原則として禁止されています。

例えば、「商品の発送のため」に取得した顧客の氏名や住所を、本人の同意なく、新商品のダイレクトメールを送るために利用することは、目的外利用にあたります。

目的外利用が許されるのは、以下のような例外的な場合に限られます。

・本人の同意がある場合

・法令に基づく場合（例：警察からの照会）

・人の生命、身体または財産の保護のために必要がある場合で、本人の同意を得ることが困難であるとき（例：災害時の安否確認）

・公衆衛生の向上または児童の健全な育成の推進のために特に必要がある場合で、本人の同意を得ることが困難であるとき

原則2：適正・安全な管理における原則（データ内容の正確性の確保と安全管理措置）

これは、「個人データを正確かつ最新の状態に保ち、漏えいなどがないように安全に管理しなければならない」という原則です。

データ内容の正確性の確保（第22条）

事業者は、利用目的の達成に必要な範囲内において、保有する個人データを正確かつ最新の内容に保つよう努めなければなりません。

例えば、顧客の住所が変更になった場合は、速やかに更新するなどの対応が求められます。

安全管理措置（第23条）

事業者は、取り扱う個人データの漏えい、滅失または毀損の防止、その他の安全管理のために、必要かつ適切な措置を講じなければなりません。

この安全管理措置は、大きく4つのカテゴリーに分けられます。

組織的安全管理措置

・個人データの取り扱いに関する規程の策定

・個人情報保護の責任者の設置

・漏えい事案が発生した場合の報告連絡体制の整備

人的安全管理措置

・従業員への定期的な研修の実施

・従業員との間で、秘密保持に関する誓約書の取り交わし

物理的安全管理措置

・個人データを取り扱う区域への入退室管理

・個人データを含む書類や電子媒体の施錠保管

・ノートPCやUSBメモリの持ち出しに関するルールの策定

技術的安全管理措置

・個人データへのアクセス制御（IDとパスワードによる認証）

・不正アクセスを防止するためのファイアウォールの設置

・コンピュータウイルスの感染を防ぐための対策ソフトの導入

・通信の暗号化

原則33：本人からの求めに対する原則（開示、訂正、利用停止等）

これは、「本人から自身の個人データに関する求めがあった場合には、誠実に対応しなければならない」という原則です。

個人情報の主人公は、あくまで本人自身であるという考え方に基づいています。

保有個人データの開示（第33条）

本人は、事業者が保有する自身の個人データについて、開示を請求する権利があります。

事業者（企業）は、本人から請求があった場合、原則として、遅滞なくこれを開示しなければなりません。

訂正、追加または削除（第34条）

本人は、事業者が保有する自身の個人データの内容が事実でないと考える場合、その訂正、追加または削除を請求する権利があります。

事業者は、請求内容が事実に合致すると判断した場合、遅滞なく訂正等を行わなければなりません。

利用停止または消去（第35条）

本人は、自身の個人データが目的外利用されている場合や、不正な手段で取得されたものである場合などに、その利用の停止または消去を請求する権利があります。

事業者は、請求に理由があると判断した場合、違反を是正するために必要な限度で、遅滞なく利用停止等を行わなければなりません。

ビジネスシーン別・個人情報取り扱いの注意点

法律の原則を理解した上で、次は、ビジネスの具体的な場面でどのような点に注意すべきかを見ていきましょう。

個人情報が関わる業務は、想像以上に多岐にわたります。

場面1：名刺交換・管理

ビジネスの出会いの第一歩である名刺交換も、個人情報の取得にあたります。

利用目的の伝え方

名刺交換の時点では、口頭で利用目的を伝えることは稀ですが、例えば、交換した名刺情報を会社の顧客管理システムに入力し、メールマガジンを配信するような場合は、後日、最初のメールを送る際に、「〇〇の場で名刺交換させていただいた皆様にお送りしています。今後、弊社から製品情報などをお送りさせていただきます」といった形で、利用目的を通知することが望ましいです。

名刺の管理方法

名刺は個人情報の塊です。

デスクの上に放置したり、誰でも閲覧できる場所に保管したりすることは、漏えいのリスクを高めます。

施錠できるキャビネットに保管する、データ化してアクセス制限をかけるなど、物理的・技術的な安全管理措置を講じる必要があります。

また、退職者の名刺をいつまでも保管しておくことは、目的外の保有と見なされる可能性があるため、定期的な棚卸しと廃棄のルールを定めておくことが重要です。

場面2：ウェブサイトからの問い合わせ対応

ウェブサイトの問い合わせフォームは、顧客との重要な接点であると同時に、個人情報を取得する主要な入り口の一つです。

プライバシーポリシーの設置と同意取得

問い合わせフォームには、個人情報の利用目的、第三者提供の有無、開示請求の手続きなどを明記した「プライバシーポリシー」へのリンクを必ず設置し、送信前に「プライバシーポリシーに同意する」といったチェックボックスを設けることが、現在の標準的な対応です。

これにより、本人の明確な同意を得た上で、情報を取得したことになります。

通信の暗号化（SSL/TLS）

問い合わせフォームを設置しているページは、SSL/TLS化（URLが「https://」で始まる）が必須です。

これにより、ユーザーが入力した情報が暗号化され、第三者による盗聴や改ざんを防ぐことができます。

場面3：採用活動・従業員管理

採用応募者や従業員の情報は、氏名や住所といった基本情報に加え、経歴や評価、健康情報など、特に機微な情報を含む可能性があります。

取得する情報の範囲

採用選考や人事管理の目的を達成するために、本当に必要な情報だけを取得するようにします。

例えば、応募者の家族構成や信条など、業務遂行能力と直接関係のない情報を収集することは、就職差別につながる可能性もあり、避けるべきです。

健康情報の取り扱い

健康診断の結果などの「要配慮個人情報」は、特に慎重な取り扱いが求められます。

本人の明確な同意なく取得することはできず、その管理も、閲覧できる担当者を限定するなど、通常よりも厳格な安全管理措置が必要です。

退職者の情報の保管期間

退職した従業員の個人情報も、法律で定められた期間（例：労働者名簿は3年間）は保管する義務がありますが、その期間を過ぎたものは、速やかに、かつ安全な方法で廃棄または消去する必要があります。

場面4：顧客情報の第三者提供

取得した個人情報を、グループ会社や業務委託先など、自社以外の第三者に提供する場合には、特に厳格なルールが適用されます。

第三者提供の原則と例外

個人データを第三者に提供するには、原則として、あらかじめ本人の同意を得なければなりません（オプトイン）。

ただし、以下のような場合は、例外的に本人の同意が不要とされています。

・法令に基づく場合

・利用目的の達成に必要な範囲内で、業務を委託する場合

・合併などによる事業承継に伴う場合

・国の機関等に協力する場合

業務委託先の監督責任（第25条）

個人データの取り扱いを外部の業者に委託する場合（例：ダイレクトメールの発送を印刷会社に委託する）、委託元である自社は、その委託先が個人情報を適切に管理しているかどうかを監督する責任を負います。

委託先を選定する際には、プライバシーマークの取得状況などを確認し、個人情報の取り扱いに関する契約を締結し、定期的に取り扱い状況を監査するなどの対応が必要です。

万が一、委託先が情報漏えいを起こした場合、委託元である自社もその責任を問われます。

万が一に備える～漏えい発生時の対応

どれだけ注意深く対策を講じていても、人的ミスやサイバー攻撃などにより、個人情報が漏えいするリスクをゼロにすることはできません。

重要なのは、万が一の事態が発生した際に、迅速かつ誠実に対応できる体制を、平時から準備しておくことです。

2022年4月の改正個人情報保護法により、漏えい等が発生した場合の対応が、次のように義務化されました。

個人情報保護委員会への報告義務（第26条）

事業者は、漏えい等が発生し、「個人の権利利益を害するおそれが大きい」場合に、個人情報保護委員会へ速報および確報を報告する義務があります。

「個人の権利利益を害するおそれが大きい」場合とは、具体的には以下のようなケースです。

・要配慮個人情報（思想、信条、人種、病歴など）が漏えいした場合

・不正に利用されることにより財産的被害が生じるおそれがある個人データ（例：クレジットカード番号）が漏えいした場合

・不正の目的をもって行われたおそれがある個人データの漏えい等（例：サイバー攻撃による漏えい）

・1,000人を超える個人データの漏えい等

報告は、まず事態を把握してから「速報（3～5日以内）」を、その後、原因究明や再発防止策の検討が完了した段階で「確報（30日または60日以内）」を行う必要があります。

本人への通知義務（第26条）

個人情報保護委員会への報告義務が発生した事態においては、原則として、漏えい等の対象となった本人に対しても、速やかにその旨を通知する義務があります。

通知すべき内容は、以下の通りです。

・漏えいした事態の概要

・漏えいした個人データの項目

・漏えいした原因

・二次被害の可能性とその内容

・再発防止策

・問い合わせ窓口

本人への通知は、個別の連絡（メールや書面）が原則ですが、多数の本人への通知が困難な場合は、ウェブサイトでの公表などの代替措置も認められています。

インシデント対応体制の構築

これらの義務を迅速に果たすためには、インシデント（事故）が発生したことを前提とした、社内の対応体制をあらかじめ構築しておくことが不可欠です。

・責任者を明確にした、緊急時対応チーム（CSIRTなど）の設置

・事実関係の調査、被害拡大の防止、原因究明、再発防止策の策定といった、対応プロセスの明確化

・個人情報保護委員会や本人、関係各所への報告・通知手順の事前準備

・従業員向けの、インシデント発見時の報告手順に関する教育・訓練

このような準備を平時から行っておくことが、有事の際に被害を最小限に食い止め、企業の信頼を守る上で決定的に重要となります。

まとめ

個人情報の保護は、もはや単なる法令遵守の課題ではありません。

それは、顧客、取引先、そして従業員といった、事業に関わるすべての人々との「信頼関係」を築き、維持するための、経営の根幹に関わる活動です。

私たちが日常業務で取り扱う一件一件の個人データは、単なる文字や数字の羅列ではなく、その向こう側にいる、一人の人間のプライバシーと尊厳に関わる、極めて重要な情報です。

そのことを、私たちは決して忘れてはなりません。

本稿で紹介した内容は、個人情報保護の広範な領域における、基本的な知識に過ぎません。

しかし、この基礎をしっかりと理解し、日々の業務の中で「この情報の取り扱いは、本当に適切だろうか？」と自問自答する習慣を身につけることが、リスクを低減し、信頼を築くための最も確実な一歩となります。

まずは、あなたの身の回りから見直してみてはいかがでしょうか。

デスクの上に置きっぱなしの名刺、パスワードが設定されていないファイル、安易なメールのCC利用。

危険は、意外と身近なところに潜んでいます。

一人ひとりのビジネスパーソンが、個人情報保護に対する高い意識を持ち、責任ある行動を実践すること。

それこそが、デジタル社会における企業の持続的な成長と、個人の豊かな生活を守るための、最も重要な基盤となるのです。