個人情報とは
個人情報保護法の個人情報は、生存する個人に関する情報のうち、氏名・生年月日などで特定の個人を識別できるもの（他の情報と容易に照合して識別できるものを含む）と、個人識別符号を含むものです。氏名がなくても、社員番号や顔画像から個人を識別できれば個人情報です。故人の情報は原則として対象外です。
個人識別符号は次の2種類で、それ単体で個人情報になります。
- 指紋、顔、DNA など身体の特徴をコンピュータ用に変換した符号
- マイナンバー、パスポート番号、運転免許証番号、基礎年金番号など個人に割り当てられた番号
要配慮個人情報と機微情報
要配慮個人情報は、不当な差別や偏見などの不利益が生じないよう特に配慮を要する情報で、人種、信条、社会的身分、病歴、犯罪の経歴、犯罪被害の事実、心身の障害、健康診断の結果などが法令で定められています。取得には原則として本人の同意が必要で、オプトアウトによる第三者提供はできません。
機微（センシティブ）情報は、金融分野などのガイドラインで使われる概念で、要配慮個人情報に加えて労働組合への加盟、門地、本籍地、保健医療、性生活に関する情報も含む、より広い範囲を指します。両者は同一の用語ではありません。
匿名加工情報とマスキング
匿名加工情報は、法令の基準に従って特定の個人を識別できないように加工し、復元もできないようにした情報です。作成した事業者は含まれる項目を公表する義務があり、識別行為は禁止されますが、本人の同意なく第三者提供や活用ができます。氏名を伏せただけで復元可能なものは要件を満たしません。
マスキングは、氏名の一部を「＊」にする、カード番号の下4桁以外を伏せるなど、データの一部を隠す処理です。生成AIに文書を入力する前の実務的な対策ですが、マスキングだけで匿名加工情報の法的要件を満たすとは限りません。
事業者の義務と監督機関
個人情報取扱事業者（個人情報をデータベース化して事業に使うすべての事業者。かつての「5,000人以下は対象外」という規定は2017年施行の改正で撤廃）には、次の義務があります。
- 利用目的を特定し、本人に通知または公表する
- 利用目的の範囲内で取り扱う
- 漏えいや滅失を防ぐ安全管理措置を講じる
- 漏えい時に個人情報保護委員会へ報告し、本人に通知する（2022年施行の改正で義務化）
個人情報保護委員会は、個人情報保護法を所管する独立性の高い国の機関で、事業者の監督や指導、ガイドラインの策定を行います。法律はおおむね3年ごとに見直され、本人の権利拡充や漏えい対応など、規制は強化される方向にあります。
生成AIへの入力
個人情報保護委員会は2023年、生成AIサービスの利用について、本人の同意なく要配慮個人情報を入力しないこと、利用目的の範囲内で扱うこと、入力データが学習に使われる場合の注意などを呼びかけました。実務では次の点を守ります。
- 健康診断の結果のような要配慮個人情報は、同意・利用目的・入力先のデータの扱いを確認せずに入力しない。
- 問い合わせメールなどを処理する場合は、不要な個人情報をマスキングし、学習に使われない設定や法人向けサービスを選び、利用目的を明確にする。
- 「社内利用だから自由」「AI に入力すれば個人情報でなくなる」「AI は第三者ではないから制約がない」という考えは誤り。
試験で問われる観点
- 個人情報・個人識別符号・要配慮個人情報・匿名加工情報の定義と扱いの違い。
- 要配慮個人情報は取得に本人同意が必要。
- 個人情報保護委員会の役割と、生成AI利用に関する注意喚起。
- 事業者の基本的な義務。「従業員5,000人以下は対象外」は誤り。