【情報セキュリティマネジメント】個人情報保護法の用語ピラミッド、階層を決めてから義務を見る｜個人情報・個人データ・保有個人データ

「氏名の列を削除したので、これは個人情報ではありません」。事例でこう説明されたら、そのまま受け取ってよいでしょうか。

個人情報保護法では、義務を考える前に、その情報が何に該当するかを整理することが重要です。

この記事では、「個人情報」「個人データ」「保有個人データ」の三つを軸に、要配慮個人情報と個人関連情報も区別します。読み終えると、科目Bの事例で分類を先に決め、その後に適用される義務を確認する順序で判断できるようになります。

先に結論：三つは包含関係にある

原則として、範囲は次のように狭くなります。

個人情報 ＞ 個人データ ＞ 保有個人データ

内側の階層では、外側の階層に関する規律に加えて、対象となる義務が増えていくと整理すると理解しやすくなります。

1．SGシラバスでの位置付け

SGシラバス Ver.4.1では、個人情報保護法の用語例として、個人情報取扱事業者、安全管理措置、要配慮個人情報、個人情報保護委員会、オプトイン、オプトアウト、第三者提供、匿名加工情報、仮名加工情報などが明示されています。

一方、「保有個人データ」「個人関連情報」はVer.4.1の用語例に名称の明示がありません。 本サイトでは、個人情報保護法の基本構造と既存問題を理解するための補助論点として必要な範囲だけ扱います。

2．個人情報：氏名がなくても識別できれば該当する

個人情報は、生存する個人に関する情報で、次のいずれかに該当するものです。

• 氏名、生年月日その他の記述等によって特定の個人を識別できる
• 他の情報と容易に照合することで特定の個人を識別できる
• 個人識別符号が含まれる

氏名を削除しただけで、個人情報ではなくなるとは限りません。

例えば、購買履歴に顧客IDが残り、事業者が通常の業務で顧客IDと氏名の対応表を参照できるなら、購買履歴から個人を識別でき、個人情報に該当し得ます。

容易照合性は通常業務で判断する

「容易に照合できる」は、理論上いつか照合できるという意味ではありません。事業者の実態に即し、通常の業務における一般的な方法で照合できる状態かを確認します。

「分析担当者の手元に氏名表がない」という事情だけで、直ちに個人情報ではないとは判断しません。

個人識別符号

個人識別符号は、身体的特徴を電子的に利用するため変換した符号や、公的に個人へ割り当てられた番号など、法令で定められた符号です。

個人識別符号を含む情報は、氏名がなくても個人情報に該当します。

社内で独自に付けた顧客番号が直ちに法令上の個人識別符号になるわけではありません。ただし、氏名表と容易に照合できれば、情報全体として個人情報になり得ます。

3．個人データ：データベース等を構成する個人情報

個人データは、個人情報データベース等を構成する個人情報です。

電子データであることだけでは決まりません。例えば、

• 顧客管理システムの顧客情報
• 氏名や社員番号で検索できる表計算ファイル
• 一定の規則で整理され、索引などから容易に検索できる紙台帳

は個人データになり得ます。

反対に、個人を識別できても、特定の個人情報を容易に検索できるよう体系的に整理されていなければ、個人情報ではあっても個人データに該当しない場合があります。

個人データから管理上の義務が増える

個人データについては、安全管理措置、従業者・委託先の監督、一定の漏えい等への対応、第三者提供の制限などが問題になります。

漏えい等が起きた個人データの全てが、自動的に個人情報保護委員会への報告対象になるわけではありません。法令で定める報告対象事態に該当するかを確認します。

具体的な安全管理や漏えい等対応は「個人情報の取扱いルール」、第三者提供は「第三者提供と加工情報」の記事で扱います。

4．保有個人データ：本人からの請求に関係する対象

保有個人データは、個人データのうち、個人情報取扱事業者が開示、訂正・追加・削除、利用停止・消去、第三者提供の停止を行う権限をもつものです。

ただし、その存在が明らかになることで公益その他の利益が害されるものとして政令で定められた個人データは除かれます。

以前の制度にあった「6か月以内に消去する個人データ」という短期保存データの一律除外は、現在の定義にはありません。

開示請求では対象と手続を確認する

本人から開示を求められた場合は、対象が保有個人データか、請求者が本人又は適法な代理人か、法令上の不開示事由などがないかを確認します。

本人は電磁的記録の提供を含む方法から開示方法を請求でき、事業者はその方法による開示が困難な場合を除き、請求された方法で遅滞なく開示します。

開示請求の実務上の判断は「個人情報の取扱いルール」の記事で扱います。

5．要配慮個人情報：三つの階層とは別の性質

要配慮個人情報は、不当な差別、偏見その他の不利益が生じないよう、取扱いに特に配慮を要する個人情報です。

代表例には、人種、信条、社会的身分、病歴、犯罪の経歴、犯罪により被害を受けた事実、障害の事実、健康診断等の結果、診療・調剤に関する情報などがあります。

取得には、法令に基づく場合などの例外を除き、原則としてあらかじめ本人の同意が必要です。また、要配慮個人情報を含む個人データは、原則としてオプトアウト方式による第三者提供の対象にできません。

要配慮個人情報は第四の階層ではない

例えば、従業員の健康診断結果は、

• 個人情報
• データベースで管理されれば個人データ
• 開示等の権限を事業者がもてば保有個人データ
• 内容の性質から要配慮個人情報

という複数の性質を同時に持つことがあります。

どの階層かと、特別な配慮が必要な情報かを別々に判定します。

6．個人関連情報：提供先で個人データになるかを見る

個人関連情報は、生存する個人に関する情報のうち、個人情報、仮名加工情報、匿名加工情報のいずれにも該当しないものです。

Cookie等の識別子に結び付いた閲覧履歴などが該当し得ます。

個人関連情報を第三者へ提供する全ての場合に、本人同意の確認が必要になるわけではありません。個人関連情報データベース等を構成する個人関連情報について、提供先が個人データとして取得することが想定される場合には、提供元が、提供先で本人の同意が得られていることなどをあらかじめ確認し、必要な記録を作成・保存する規律が問題になります。

具体的な確認・記録は「第三者提供と加工情報」の記事で扱います。

7．科目Bでの使われ方

判断の順序は、識別可能性 → 容易照合性 → データベース等 → 保有権限 → 特別な性質 → 適用される義務です。

よくある取り違え

まとめ

• 個人情報、個人データ、保有個人データは原則として包含関係にある
• 氏名がなくても、容易照合性や個人識別符号によって個人情報になり得る
• 個人データは個人情報データベース等を構成する個人情報
• 保有個人データでは開示・訂正・利用停止等の権限を確認する
• 要配慮個人情報は階層ではなく、特別な取扱いが必要な性質
• 個人関連情報では、提供先が個人データとして取得すると想定されるかが重要
• 科目Bでは、分類を先に決めてから適用される義務を判断する

参考資料

本記事は、当サイトの教材基準日である2026年4月1日時点で施行されている法令と、2026年8月3日時点のSGシラバス Ver.4.1を基準に作成しています。2026年4月1日は当サイト独自の教材基準日であり、IPAが定める法令出題基準日を意味するものではありません。

なお、2026年7月17日に「個人情報の保護に関する法律等の一部を改正する法律」（令和8年法律第56号）が公布されました。附則の一部は公布日に施行されていますが、本記事の主要論点に関係する改正を含む主要部分は、原則として公布日から2年を超えない範囲内で政令が定める日に施行されます。罰則関係など一部は2027年1月17日に施行されるため、施行状況に応じて本記事を再点検します。

• IPA「情報セキュリティマネジメント試験（レベル2）シラバス Ver.4.1」
• e-Gov法令検索「個人情報の保護に関する法律」
• 個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」
• 個人情報保護委員会「『個人情報の保護に関する法律についてのガイドライン』に関するQ&A」
• 個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（第三者提供時の確認・記録義務編）」
• 個人情報保護委員会「令和8年 改正個人情報保護法について」

関連する問題

• 情報セキュリティマネジメント 法務・標準・情報倫理 一問一答 第1問〜第5問
• 情報セキュリティマネジメント 法務・標準・情報倫理 択一式（応用） 第1問〜第5問