個人情報保護法とは？基本のルールと業務での注意点をやさしく解説

「顧客名簿、どこまで使っていい?」
「個人情報は、どこからが対象?」
「うっかり漏らしたら、何が起きる?」

「名前だけなら、個人情報じゃない」——この思い込みが、事故の入り口になります。氏名は、それ自体が個人情報です。個人情報保護法とは、事業者が個人情報をどう集め・使い・守るかのルールを定めた法律です。この記事は、まず「どこからが個人情報か」を分類の地図で示し、守るべきルールと、やってしまいがちな違反まで進みます。

所管は個人情報保護委員会で、ガイドラインやQ&Aを公開しています。守るだけでなく適正な利用も認める——この両立が法律の出発点です。ITパスポートの法務系に効きます。

1. まず「個人情報」の線引きを誤解しない

あなたが最初に外すべき誤解が、「単体の情報は個人情報にならない」というものです。法律は、他の情報と容易に照合して特定の個人を識別できるものも個人情報に含めます。単独では個人を特定できないメールアドレスでも、顧客台帳と突き合わせれば誰か分かるなら、個人情報です。

あなたが業務で扱う顧客の氏名や連絡先も、他の情報と組み合わせて個人を識別できれば個人情報です。「これは個人情報にあたるか」を一人で決めず、社内ルールや専門家に確認する姿勢が、結局いちばん安全です。判断に迷う情報ほど、対象として扱っておくほうがリスクは小さくなります。

個人情報保護法は、事業者に利用目的の特定や安全管理といった義務を課します。個人の権利利益を守りつつ、事業者による適正な利用も認める。この線引きを掴むと、次の分類が腑に落ちます。

2. 個人情報の分類地図（3つの区分）

法律は、扱う情報を3つの区分で整理します。区分によって、求められる扱いの厳しさが変わります。地図で全体を俯瞰してください。

いちばん外の枠が個人情報、氏名や生年月日など、特定の個人を識別できる情報です。その中に、性格の違う2つが位置づきます。1つが個人識別符号で、マイナンバー・運転免許証番号・旅券番号など、それ単体で個人を識別できる符号。もう1つが要配慮個人情報で、人種・信条・病歴・犯罪歴など、差別や偏見につながりやすい情報です。要配慮個人情報は、取得に原則として本人の同意が必要で、一段厳しく扱われます。

3. 事業者が守る基本ルールと安全管理措置

あなたの会社が事業者なら、次の基本ルールを守ります。利用目的の特定・取得時の通知や公表・第三者提供の制限・安全管理措置・開示等請求への対応です。柱は「使う目的を先に決め、その範囲を超えて使わない」こと。顧客サポート用に集めた情報を、本人の同意なくマーケティングへ転用するのは、この目的外利用にあたり原則として認められません。

とりわけ試験で問われるのが安全管理措置です。組織的・人的・物理的・技術的の4側面で整えます。現役エンジニアとして情報管理の現場に関わってきた立場で言うと、この4つは「1つでも抜けると、そこが穴になる」のが実感です。技術で固めても、机に書類を置きっぱなしにする物理的な緩みがあれば漏れる。あなたが4側面を、抜けなくそろえる発想が要ります。

4. やってしまいがちな、3つの違反

あなたが業務で足を滑らせやすいのは、次の3つです。悪意でなく「うっかり」で起きるのが厄介なところです。

• 利用目的を超えた転用: サポート用に集めた名簿を、同意なく営業リストへ使い回す
• 要配慮個人情報の無断取得: 病歴や信条を、本人の同意なく集めてしまう
• 生成AIへの安易な入力: 社外の生成AIに、顧客名簿の一部を貼り付ける

とくに3つ目は、近年急に増えた落とし穴です。社外サービスの生成AIへ個人情報を貼り付ける行為は、第三者提供や安全管理の観点から慎重に扱うべき場面にあたります。入力してよいデータの線引きを社内ルールで決め、迷ったら入力しない——これが現場で効く守りです。3つに共通するのは、「目的の範囲で使う・同意なく外に出さない・AIに安易に貼らない」という一線。判断に迷う場面では、弁護士・社内法務・個人情報保護委員会の窓口へ早めに相談してください。生成AIと個人情報の注意点は AIと機密情報の扱い で、創作物を守る側の法律は 著作権法とは で押さえられます。

次のステップ

法務系が試験全体のどこに位置づくかを見たいなら、ITパスポートの試験範囲と勉強法ガイド で3系統の地図をたどっておくと、頭の中が整理できます。

要配慮個人情報や安全管理措置の問われ方は、解いて体に入れましょう。ITパスポート 法務の問題集 で、個人情報保護法を含む法務系の出題角度を、解いて確かめてください。