「個人情報」と「パーソナルデータ」

そもそも個人情報とは、法的にはいわゆる個人情報関連五法によって規定されている。いわゆる個人情報保護法案にあたる「個人情報の保護に関する法律」を中心とした、「行政機関の保有する個人情報の保護に関する法律」、「独立行政法人等の保有する個人情報の保護に関する法律」、「情報公開・個人情報保護審査会設置法」、「行政機関の保有する個人情報の保護に関する法律等の施行に伴う関係法律の整備等に関する法律」の五つである。

[写真] 個人情報保護関連5法の概要（PDF形式） - 国土交通省
http://www.mlit.go.jp/kojin/5hou.pdf

また、個人情報は以下のように規定されている。

"この法律において「個人情報」とは、生存する個人に関する情報であって、当該情報に含まれる氏名、生年月日その他の記述等により特定の個人を識別することができるもの（他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなるものを含む。）をいう。"

（「個人情報の保護に関する法律」第二条）

この法案を、氏名や生年月日といった"特定の個人を識別することができる"情報を取り除けば、それは個人情報ではない、という解釈が一般的に行われることがあるがそれは間違いである。先にあげたJR東日本の"Suica問題"でも、「販売されたデータは、住所や氏名などを除いているのだから個人情報ではない」とする解釈があるが、法的にはこれも含めて個人情報である、というのが正しい。例をあげて説明しよう。

このデータAの要素のうち、住所、氏名、電話番号、だけが個人情報なのではない。ID、住所、氏名、生年月日、電話番号の全てが個人情報である。また、データBの要素は、住所、氏名、電話番号を含まないが、データAとIDによって突き合わせをすることで個人を特定できる情報、となるデータである。これが個人情報の定義にある「他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなるもの」であり、つまりデータBのデータも個人情報にあたる。^＊2

そもそも個人情報保護法案は、住民基本台帳ネットワーク（住基カード）の成立のために、個人情報に関する法律を整備しなくてはいけなかったため、通常よりも短い時間で法案を作成、成立させたという経緯がある。そのため、様々な業種の個人情報の取り扱いのメリットやリスクなどを全て勘案して法案作成を行うのではなく、大きな枠での設定になっており、様々なグレーゾーンや抜け道が残されている、というのが実情のようである。また、2003年の制定当時には想定できていなかった技術・サービスの普及により、現行法では対応できていない事例も増えている（例えばGPS等を利用した位置情報の普及など）。こうした状況を踏まえて、2015年を目処に個人情報保護法案の改正のための検討が現在進められている。