個人情報保護法は、個人の情報を使う会社や団体に「集め方・使い方・守り方」の約束事を課す法律です。情報を集めること自体は禁じていません。2003年に生まれ、2015年・2020年・2021年と改正を重ねてきました。2026年7月にも、AI開発でのデータ活用を広げつつ課徴金を新設する改正が成立しています。便利さと守りのあいだで、線は今も引き直されている途中です。
個人情報保護法は何を決めた法律？
正式名は「個人情報の保護に関する法律」
正式な名前は「個人情報の保護に関する法律」で、2003年（平成15年）5月30日に法律第57号として公布されました。目的は、個人情報が役に立つものであることに配慮しながら、一人ひとりの権利や利益を守ることです。守るだけの法律ではなく、使うことも前提に置いている。この二本立てが、のちの改正のたびに綱引きの軸になります。
「集めるな」ではなく使い方の約束
事業者に求められるのは、何に使うかを決めて本人に知らせること、その目的の外では使わないことです。ほかの会社へ渡すときは、原則として本人の同意が要ります。漏れないように管理する責任もあり、本人から「自分の情報を見せてほしい」「間違いを直してほしい」と求められたら応じなければなりません。
つまり、名簿を作ること自体は違法ではありません。問題になるのは、黙って別の目的に使ったり、無断で売ったりした場合です。
小さな会社や個人事業主も対象になる
義務を負う「個人情報取扱事業者」には、大企業だけでなく町の商店や個人事業主、NPOや自治会も含まれます。顧客名簿をパソコンや台帳で管理していれば、それだけで当てはまります。そのかわり、個人情報保護委員会のガイドラインは従業員100人以下の「中小規模事業者」向けに、安全管理の手間を軽くした例を別に示しているのが特徴です。
どこからが「個人情報」になる？
名前がなくても照らし合わせれば分かる情報
法律上の個人情報とは、氏名・生年月日・住所のように、生きている特定の個人を見分けられる情報のことです。単体では誰のことか分からないデータでも、ほかの情報と簡単に照らし合わせて個人が分かるなら、個人情報として扱われます。顔が写った防犯カメラの映像も、本人が判別できれば個人情報です。
顔や指紋のデータは単体でも個人情報
「個人識別符号」と呼ばれる情報は、それだけで個人情報になります。ガイドラインが挙げるのは、顔の骨格や目鼻の配置から作る顔認証データです。ほかに虹彩の模様・声紋・歩き方の特徴・手のひらの静脈の形・指紋なども並んでいます。
身体の特徴だけではありません。パスポートや運転免許証の番号、基礎年金番号、住民票コードといった公的な番号も個人識別符号に入っています。名前が書かれていなくても、番号ひとつで本人にたどり着けるからです。
病歴や犯罪歴は「要配慮個人情報」
人種・信条・社会的身分・病歴・犯罪の経歴・犯罪の被害にあった事実は、「要配慮個人情報」として特に慎重な扱いが求められます。政令で、障害があること・健康診断の結果・逮捕や起訴などの刑事手続きを受けたことも加えられました。差別や偏見につながりやすいため、集めるときには原則として本人の同意が必要です。
改正は2015年・2020年・2021年、そして2026年
2015年改正と個人情報保護委員会の誕生
最初の大きな改正は2015年（平成27年）です。上で触れた個人識別符号と要配慮個人情報の考え方が加わり、氏名などを消して誰のものか分からなくした「匿名加工情報」を活用する仕組みも、このとき生まれています。
監督役も変わりました。マイナンバーを見張っていた特定個人情報保護委員会が改組され、2016年1月1日に「個人情報保護委員会」が発足しました。民間の個人情報の扱いを見張る専門の機関が、ここで初めて生まれたことになります。
2020年改正で漏えいの報告と罰則が強化
2020年6月12日に公布された改正は、2022年4月1日に全面施行されました。情報が漏れたときの委員会への報告と本人への通知が義務になり、違法な行為を助長するような「不適正な利用」も禁じられています。
罰則も重くなりました。委員会の命令に違反した場合、個人の刑は「6月以下の懲役・30万円以下の罰金」から「1年以下・100万円以下」へ。会社などの法人には最高1億円の罰金が科されるようになっています。
2021年改正で国と自治体のルールも一本に
それまで民間・国の行政機関・独立行政法人で別々だった3本の法律が、2021年の改正で1本にまとまりました。国の機関には2022年4月から、地方公共団体には2023年4月から新しいルールが適用されています。自治体ごとに条例がばらばらだった状態が、全国共通のルールに置き換わったのです。
2026年改正は使いやすさと罰の重さを同時に
2026年7月10日に成立し、7月17日に公布された改正は、データを使いやすくする方向と罰を重くする方向が同居しています。統計づくりや、統計と同じように整理できるAI開発に限って使う場合は、本人の同意なしに個人データを提供できるようになります。
その一方で、大量の個人情報を悪質に扱って利益を得た事業者には、得た利益に見合う「課徴金」を納めさせる制度が新しくできました。16歳未満の子どもの情報は親などの法定代理人から同意を取ることも明文化されています。施行は原則として公布から2年以内です。
Cookieや閲覧履歴はどう扱われる？
単体では個人情報ではない「個人関連情報」
ウェブサイトの閲覧履歴や購買履歴は、それだけでは誰のものか分からないことが多い情報です。2020年改正は、こうした情報に「個人関連情報」という名前を付けました。ガイドラインの例には、Cookieなどの端末の識別子で集めた閲覧履歴が挙がっています。ある人の位置情報や、興味・関心を示す情報も同じ扱いです。
※ Cookie（クッキー）とは、ウェブサイトを見たときにブラウザに保存される小さなデータのことです。ログイン状態の維持や、閲覧履歴の記録に使われます。
渡した先で個人と結び付くなら同意の確認が要る
問題になったのは、自社では名前の分からない閲覧履歴を他社に渡し、受け取った側が手持ちの会員情報と結び付けるケースです。渡す側に悪気がなくても、受け取った先では立派な個人情報になってしまいます。
そこで、提供先が個人データとして受け取ることが想定される場合は、本人の同意が得られているかを提供元が確かめる決まりになりました。サイトで見かける「Cookieの利用に同意しますか」という表示は、この流れの中で増えたものの一つといえるでしょう。
位置情報も積み重なれば個人情報になる
位置情報は、一度きりの記録だけなら誰のものか分からないのが普通です。ところが毎日の移動が連続して蓄積されると、自宅と勤務先が浮かび上がり、本人が特定できてしまうのです。ガイドラインも、そうなった位置情報は個人関連情報ではなく個人情報にあたると説明しています。
便利なサービスは個人データで動いている
地図アプリやおすすめ表示の裏側
スマートフォンに位置情報を渡すから、渋滞を避けたルート案内が受けられます。ネット通販の「あなたへのおすすめ」も、過去の購買履歴があってこそ成り立つ仕組みです。情報を渡すたびに、私たちは少しずつ便利さを受け取っているわけです。
「無料」のサービスと広告の関係
検索やSNSの多くは無料。その運営費を支えているのは広告で、利用者の行動データは広告を届ける相手を選ぶ材料になっています。お金のかわりにデータで払っている、と言い換えてもよいかもしれません。その取引条件は利用規約やプライバシーポリシーに書かれていますが、最後まで読む人は多くないでしょう。
名前を消して使う仮名加工情報と匿名加工情報
保護と活用を両立させる道具として、法律は加工したデータの使い道を用意しています。2015年改正の「匿名加工情報」は、元の個人に戻せないよう加工したもので、条件を守れば同意なしに他社へ渡せます。
2020年改正で加わった「仮名加工情報」は、ほかの情報と照らし合わせない限り個人が分からないよう氏名などを置き換えたものです。社内での分析に使いやすくする代わりに、原則として外部へは渡せません。
活用と監視の境目はどこにある？
コロナ禍の接触確認アプリが投げかけた問い
新型コロナウイルスの流行期には、感染者との接触を知らせるアプリや位置情報を使った追跡が世界各地で使われました。日本の接触確認アプリ「COCOA」は、陽性者の全数届出の見直しを受けて2022年11月に接触通知の機能を止めています。公衆衛生のためにどこまで行動を把握してよいのか。その問いは、アプリが止まった後も残りました。
顔識別カメラに委員会が示した考え方
顔識別機能の付いた防犯カメラは、万引きの常習者を見つけたり迷子を探したりするのに役立ちます。その一方で、不特定多数の人を本人の知らないうちに追い続けることもできてしまいます。
個人情報保護委員会は2023年3月、この問題を扱う77ページの文書をまとめました。利用目的を知らせること、誰の顔を登録するかの基準、どのくらいの期間保存するかを決めて公表すること。カメラを置く側が守るべき点を、肖像権の裁判例とあわせて整理しています。
2026年改正で顔データに新しいルール
この流れは2026年の改正にもつながりました。顔の特徴を数値にした「顔特徴データ」について、扱いに関する事項の周知が義務になります。本人が利用停止を求めやすくなり、本人の求めがあれば止める条件で同意なしに渡す「オプトアウト」での第三者提供は禁止されました。技術が先に進み、法律が後から追いかける構図がよく表れています。
豆知識：EUのGDPRは制裁金がけた違い
上限は世界売上高の4％か2000万ユーロ
EUの「一般データ保護規則（GDPR）」は2018年5月に適用が始まりました。重い違反の制裁金の上限は、2000万ユーロか、企業なら前年度の全世界の年間売上高の4％のどちらか高いほうです。売上の大きな企業ほど、上限も青天井に近づきます。
Metaには12億ユーロの制裁金
2023年5月、アイルランドのデータ保護委員会はFacebookを運営するMetaに12億ユーロの制裁金を科したと発表しました。EUの利用者のデータを、十分な保護がないまま米国へ移し続けたことが理由です。日本円にすると1,000億円を大きく超える額です。
日本とEUは互いに「同じ水準」と認め合う
罰の重さは違っても、日本とEUは2019年1月23日から、互いの制度を十分な保護の水準にあると認め合っています。これでEUから日本への個人データの移転が円滑になりました。2023年には双方がこの認定の継続を決めています。日本の課徴金の新設は、執行の面でもEUとの距離を縮める動きと見ることができます。
この法律が守ろうとしているのは、自分に関する情報の行き先を自分である程度決められることです。データを差し出さずに暮らすのは、もう難しい時代になりました。それでも同意のボタンを押す前に何を渡すのかを少し意識するだけで、便利さとプライバシーの釣り合いは自分の側へ少し戻ってきます。
参考
- 個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」
- 個人情報保護委員会「令和2年 改正個人情報保護法について」
- 個人情報保護委員会「令和8年 改正個人情報保護法について」
- Data Protection Commission (Ireland) “Data Protection Commission announces conclusion of inquiry into Meta Ireland”
関連記事
