要配慮個人情報とは？該当する／しない具体例、取扱い規制など

（本記事における略記）

要配慮個人情報とは

要配慮個人情報の定義

　要配慮個人情報は、個人情報保護法2条3項において、以下のとおり定義されています。

要配慮個人情報とその他の個人情報の違い

　要配慮個人情報は、個人情報保護法上の「個人情報」に含まれるものです。要配慮個人情報とそれ以外の個人情報との違いは、以下のようなイメージです。

個人情報保護法における各種データのイメージ

要配慮個人情報に該当するもの

　要配慮個人情報には以下のものが該当します（法2条3項、施行令2条各号、施行規則5条各号、通則編ガイドライン2−3）。

人種

　「人種」とは、人種、世系または民族的もしくは種族的出身を広く意味し、「アイヌ人」、「在日韓国・朝鮮人」のような情報がこれに該当します。

　ただし、単純な国籍や「外国人」という情報は法的地位であり、それだけでは人種には当たりません。また、肌の色は、人種を推知させる情報にすぎないため、要配慮個人情報には該当しません。

信条

　「信条」とは、個人の基本的なものの見方、考え方を意味し、思想と信仰の双方を含むものです。具体的には、「キリスト教徒」、「自民党員」のような情報がこれに該当します。

社会的身分

　「社会的身分」とは、ある個人にその境遇として固着していて、一生の間、自らの力によって容易にそれから簡単に脱し得ないような地位を意味します。具体的には、「同和地区出身」、「非嫡出子」のような情報がこれに該当します。

　ただし、単なる職業的地位や学歴は含まれません。

病歴

　「病歴」とは、病気に罹患した経歴を意味するもので、特定の病歴を示した部分（例：特定の個人ががんに罹患している、統合失調症を患っている等）が該当します。また、「風邪などの一般的かつ軽微な疾患に関する情報」も要配慮個人情報とすることが適切とされています（パブコメ回答No.156）。

犯罪の経歴

　前科、すなわち有罪の判決を受けこれが確定した事実が、「犯罪の経歴」に該当します。

　なお、単に防犯カメラの映像等で、犯罪行為が疑われる映像が映ったのみでは、犯罪の経歴や刑事事件に関する手続が行われたこと（後述2−10参照）には該当しません（ガイドラインQ&A1−31）。ある人が反社会的勢力に属しているという情報のみの場合も同様です。

犯罪により害を被った事実

　「犯罪により害を被った事実」とは、身体的被害、精神的被害および金銭的被害の別を問わず、犯罪の被害を受けた事実を意味します。

身体障害、知的障害、精神障害等

　「身体障害、知的障害、精神障害等」とは、施行令2条1号、施行規則5条各号が定めるもので、具体的には下表の①から④までに掲げる情報をいいます。このほか、当該障害があることまたは過去にあったことを特定させる情報（例：障害福祉サービスを受けていることまたは過去に受けていたこと ¹）も該当します。

　これらが要配慮個人情報とされたのは、障害を理由とする差別の解消の推進に関する法律8条および障害者の雇用の促進等に関する法律35条等の他の法令においても、障害を理由とした差別や権利利益の侵害を禁止していることを勘案するものです。

医師等により行われた健康診断等の結果

　「医師等により行われた健康診断等の結果」とは、ある個人の健康状態が明らかとなる情報のことをいいます。たとえば、疾病の予防や早期発見を目的として行われた健康診査、健康診断、特定健康診査、健康測定、ストレスチェック、遺伝子検査（診療の過程で行われたものを除く）など、受診者本人の健康状態が判明する検査の結果が該当します。
　なお、医師等には、医師のみならず、その他医療に関連する職務に従事する者を含みます。

　具体的な事例としては、労働安全衛生法に基づいて行われた健康診断の結果、同法に基づいて行われたストレスチェックの結果、高齢者の医療の確保に関する法律に基づいて行われた特定健康診査の結果などが該当します。また、法律に定められた健康診査の結果等に限定されるものではなく、人間ドックなど保険者や事業主が任意で実施または助成する検査の結果も該当します。さらに、医療機関を介さないで行われた遺伝子検査の結果のうち、本人の遺伝型とその遺伝型の疾患へのかかりやすさに該当する結果も含まれます。

　ただし、健康診断等を受診したという事実は該当しません。加えて、身長、体重、血圧、脈拍、体温等の個人の健康に関する情報を、健康診断、診療等の事業およびそれに関する業務とは関係ない方法により知り得た場合は該当しません。

医師等による保健指導・診療・調剤が行われたこと

　「医師等による保健指導・診療・調剤」とは、保健指導・診療・調剤に関して本人の健康状態が明らかとなる情報のことをいいます。

（1）保健指導

　指導が行われたことの具体的な事例としては、次のものが挙げられます。なお、保健指導等を受けたという事実も該当します。

（2）診察

　診療が行われたことの具体的な事例としては、病院、診療所、その他の医療を提供する施設において診療の過程で、患者の身体の状況、病状、治療状況等について、医師、歯科医師、薬剤師、看護師その他の医療従事者が知り得た情報すべてを指し、たとえば診療記録等がこれに該当します。また、病院等を受診したという事実も該当します。

（3）調剤

　調剤が行われたことの具体的な事例としては、病院、診療所、薬局、その他の医療を提供する施設において調剤の過程で患者の身体の状況、病状、治療状況等について、薬剤師（医師または歯科医師が自己の処方箋により自ら調剤する場合を含む）が知り得た情報すべてを指し、調剤録、薬剤服用歴、お薬手帳に記載された情報等が該当します。また、薬局等で調剤を受けたという事実も該当します。

　ただし、身長、体重、血圧、脈拍、体温等の個人の健康に関する情報を、健康診断、診療等の事業およびそれに関する業務とは関係のない方法により知り得た場合は該当しません。

刑事事件に関する手続が行われたこと（犯罪の経歴を除く）

　本人を被疑者または被告人として、刑事訴訟法に基づき、逮捕、捜索、差押え、勾留、公訴の提起等の刑事手続が行われたという事実が、「刑事事件に関する手続」に該当します。受刑の経歴も同様です（ガイドラインQ&A1−30）外国政府（の警察）による逮捕等についても除外されません（ガイドラインQ&A1−32）。
　また、無罪判決を受けたことや不起訴処分となったことも要配慮個人情報に該当します（ガイドラインQ&A1−33、1−34）。これは、有罪判決を受けていなくとも刑事手続を受けたのであれば、犯罪への関与があったものと強く推測され、社会から不利益な扱いを受けることが考えられることから、本人としては秘匿したいと考えるのが一般的であることを勘案したものです。

　一方で、他人を被疑者とする犯罪捜査のために取調べを受けた事実や、証人として尋問を受けた事実に関する情報は、本人を被疑者または被告人としていないことから、これには該当しません。

　ある人が反社会的勢力に属しているという情報は、犯罪の経歴や刑事事件に関する手続が行われたことには該当しません（パブコメ回答No.143、159、250）。
　なお、反社会的勢力の犯罪の経歴は要配慮個人情報に該当しますが、「人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき」（法20条2項2号）の例示として「事業者間において、不正対策等のために、暴力団等の反社会的勢力情報、意図的に業務妨害を行う者の情報のうち、過去に業務妨害罪で逮捕された事実等の情報について共有する場合」が掲げられています（通則編ガイドライン3−3−2 (2)）ので、本人の事前の同意なく取得可能です。

少年の保護事件に関する手続が行われたこと

　本人を非行少年またはその疑いのある者として、保護処分等の少年の保護事件に関する手続が行われたという事実が、「少年の保護事件に関する手続」に該当します。
　非行少年として、少年法に基づき、調査、観護の措置、審判、保護処分等の一切の少年保護事件に関する手続等を受けた事実は、成人の場合における犯罪の経歴や刑事手続を受けた事実と同様に、差別や偏見を生じさせ本人の更生を妨げ得るものと考えられることを勘案して「要配慮個人情報」としたものです。なお、同様の観点から、少年法61条において、家庭裁判所の審判に付された少年について本人であることが推知できるような記事等を出版物に掲載してはならない旨を規定しています。

遺伝子検査結果等のゲノム情報

　「遺伝子検査結果等のゲノム情報」とは、細胞から採取されたデオキシリボ核酸（DNA）を構成する塩基の配列のことをいいます。
　遺伝子検査により判明する情報の中には、差別、偏見につながり得るもの（例：将来発症し得る可能性のある病気、治療薬の選択に関する情報等）が含まれ得ますが、当該情報は、上述の2−8「医師等により行われた健康診断等の結果」または2−9「医師等による保健指導・診療・調剤が行われたこと」に該当し得ます。このことは、消費者直販型遺伝子検査の結果（いわゆるDTC遺伝子検査の結果）においても同様です（ガイドラインQ&A1−29）

要配慮個人情報に該当しないもの

推知情報

　上述のとおり、2−1〜2−12と関連性を有する情報であっても、それらを推知させるにすぎない情報（推知情報）については、要配慮個人情報には該当しません。たとえば、「◯◯教に関する本を購入した」という購買履歴の情報や、特定の政党が発行する新聞や機関誌等を購読しているという情報など、要配慮個人情報に含まれるべき記述等を推知させるにすぎない情報については、要配慮個人情報には該当しません（ガイドラインQ&A1−27）。

労働組合への加盟、門地、本籍地、性生活

　要配慮個人情報と混同されやすいものとして、金融分野ガイドライン ² が定める「機微（センシティブ）情報」という概念があります。両者は重複・類似する部分がある一方で、対象となる情報、行為規制には違いが見られます。
　具体的には、労働組合への加盟、門地、本籍地、性生活については、機微（センシティブ）情報には該当しますが、要配慮個人情報には該当しません。もっとも、これらの情報はいずれも個人のプライバシーにかかわる情報ですので、要配慮個人情報に該当しないとしても、慎重な取扱いが求められます。

その他の情報

（1）運転免許証の条件等・臓器提供意思の確認欄

　運転免許証の条件等に記載された「眼鏡等」の記述や、裏面に記載された臓器提供に関する意思表示は、どちらも要配慮個人情報に該当しません（パブコメ回答No.142、152）。

（2）介護に関する情報

　介護はむしろ関係者間で情報共有することが重要な分野で、地域でのサポートに必要不可欠な情報であることにより、介護に関する情報は要配慮個人情報として定められていません（パブコメ回答No.221）。

要配慮個人情報に関する規制の概要

あらかじめ本人の同意を得ない取得禁止

（1）原則：本人の同意

　個人情報取扱事業者は、法令に基づく場合等一定の例外を除き、あらかじめ本人の同意を得ないで、要配慮個人情報を取得してはなりません（法20条2項）。
　なお、個人情報取扱事業者が要配慮個人情報を書面または口頭等により本人から適正に直接取得する場合は、本人が当該情報を提供したことをもって、当該個人情報取扱事業者が当該情報を取得することについて本人の同意があったものと解されます（通則ガイドライン3−3−2（※2））。

　要配慮個人情報の「取得」に関連し、郵便物の誤配など、事業者が求めていない要配慮個人情報が送られてきた場合であっても、事業者が手にすることとなった要配慮個人情報を直ちに返送したり、廃棄したりするなど、事業者（受領側）に提供を「受ける」行為がないときは、要配慮個人情報を取得しているとは解釈されません。
　また、要配慮個人情報を含む情報がインターネット等により公にされている場合であって、単にこれを閲覧するにすぎず、転記等を行わない場合は、要配慮個人情報を取得しているとは解釈されません（ガイドラインQ&A4−8）。

　要配慮個人情報の項目に相当する情報の「生成」が「取得」に該当するか否かについては議論がありますが、一応、現時点では、個人情報保護委員会は、「生成」は「取得」に該当しないと解しているように思われます（ガイドラインQ&A7−26参照）。
　もっとも、要配慮個人情報の取得にあたり原則として本人の同意を要することとされたのは、本人の権利利益に与える影響が大きいからであると考えられます。このことは、要配慮個人情報の「取得」であれ、その項目に相当する情報の「生成」であれ、本質的な差異はないように思われます。
　また、個人情報取扱事業者は違法または不当な行為を助長し、または誘発するおそれがある方法により個人情報を利用することはできません（法19条）。そのため、要配慮個人情報の項目に相当する情報を生成するにあたっては、できる限り本人の同意を得るよう努めるとともに、その目的や本人の権利利益への影響も含め、できる限り高い透明性を担保することが望ましいと考えられます。

（2）例外：法20条2項各号

　法20条2項各号は、例外的に、本人の同意を得ないで個人情報を取得することのできる場面を限定列挙しています。その概要は次のとおりです。

　インターネットやSNS上に公開されている要配慮個人情報の取得が上記法20条2項7号の例外に該当するか否かは悩ましい問題です。こうした問題は、特に、機械学習のために、インターネットやSNS上に公開されている情報を大量に収集する場合に顕在化することになります。本来であれば、法20条2項7号の例外事由に該当しないのにインターネットやSNS上に公開された要配慮個人情報を取得すれば、当該取得の時点で法20条2項に違反することになると考えられます。
　もっとも、個人情報保護委員会は、令和5年6月2日付の報道発表「生成AIサービスの利用に関する注意喚起等について」において、次のとおり、いわば超法規的とも思われる解釈を示しました。目下の対応としては、下記①～④を実施することにより、リスクを引き下げることができるものと思われます。

　また、本人を目視し、撮影することにより、その外形上明らかな要配慮個人情報を取得する場合も、本人の同意は不要です（法20条2項8号、施行令9条1号）。したがって、身体の不自由な方が店舗に来店し、対応した店員がその旨をお客様対応録等に記録した場合（目視による取得）や、身体の不自由な方の様子が店舗に設置された防犯カメラに映りこんだ場合（撮影による取得）などには、あらかじめ本人の同意を得ることなく、当該要配慮個人情報を取得することができます（通則ガイドライン3−3−2 (8)）。

オプトアウトによる第三者提供の禁止

　要配慮個人情報のオプトアウトによる第三者提供は認められていません（法27条2項但書）。

個人情報保護委員会への報告および本人への義務

　要配慮個人情報が含まれる個人データの漏えい、滅失もしくは毀損が発生し、または発生したおそれがある事態が生じた場合には、たとえ1件のみであったとしても、個人情報保護委員会への報告および本人への通知等を行う必要があります（法26条1項・2項、施行規則7条1号）。

その他の要配慮個人情報に関する規制（安全管理措置・委託先監督義務の水準）

　個人情報保護法に明記された要配慮個人情報に関する規制は、上記4−1～4−3に記載した3つのみです。
　したがって、要配慮個人情報であるからといって、利用目的規制が強化されたり、オプトアウト提供を除き、提供規制が強化されたりすることはありません。
　もっとも、個人情報保護委員会は、要配慮個人情報を取り扱うにあたっては、とりわけ高い水準の安全管理措置等を講じることが求められる旨言及したことがあります ³ ので、安全管理措置や委託先監督については、通常の個人データのみを取扱う場合に比して、より高い水準とすることが求められると考えられます。

違反した場合のペナルティ

個人情報保護委員会による行政指導・行政処分

　個人情報保護法の違反が認められる場合、個人情報保護委員会より勧告・命令・違反事実の公表といった処分がなされる可能性があります。

　具体的には、違反によって、個人の権利利益を保護するため必要があると認めるときは「勧告」（法148条1項）、正当な理由なくその勧告に係る措置をとらなかった場合において個人の重大な権利利益の侵害が切迫していると個人情報保護委員会が認めたときは「命令」がなされることになります（同条2項）。なお、違反によって個人の重大な権利利益を害する事実があると認められる場合は、勧告を行わず「緊急命令」が出される可能性もあります（同条3項）。
　また、個人情報取扱事業者が命令に違反した場合には、その旨が「公表」されることもあります（同条4項）。なお、個人情報保護委員会による権限行使について、それが仮に指導（法147条）であったとしても、事案の性質等に応じ、国民への情報提供等（法9条）の観点から、公表される可能性がある点にも留意を要します。

刑事罰

　個人情報保護法に違反し、個人情報保護委員会の命令にも違反した場合には、当該違反行為をした者について1年以下の懲役または100万円以下の罰金が科され、また、法人についても1億円以下の罰金が科されるおそれがあります（法178条、184条1号）。

いわゆる3年ごと見直しにおける要配慮個人情報に関する議論状況

要配慮個人情報の取得に関する統計目的等例外

　統計情報等の作成および統計作成等であると整理できるAI開発等のために複数の事業者が持つデータを共有し横断的に解析するニーズが高まっていること、特定の個人との対応関係が排斥された統計情報等の作成や利用はこれによって個人の権利利益を侵害するおそれが少ないものであることから、このような統計情報等の作成にのみ利用されることが担保されていること等を条件に、本人同意なき公開されている要配慮個人情報の取得を可能とすることが検討されています ⁴。

　本人同意なき公開されている要配慮個人情報の取得については、当該要配慮個人情報が以下の①または②にのみ利用されることを担保する観点等から、公開されている要配慮個人情報の取得者における次の事項の公表および取得者における目的外利用および第三者提供（本規律に基づく本人同意なき個人データ等の第三者提供を行う目的である場合における当該第三者提供を除く）の禁止を義務付けることが想定されています。

取得の状況からみて本人の意思に反しない要配慮個人情報の取得に関する例外

　個人データの第三者提供等が契約の履行のために必要不可欠な場合をはじめ、目的外利用、要配慮個人情報取得または第三者提供が本人の意思に反しないため本人の権利利益を害しないことが明らかである場合について、本人の同意を不要とすることが検討されています ⁵。
　ただし、この例外に基づき、たとえばどのような場面において、本人同意なき要配慮個人情報の取得が許容されるのかについては、特に示されていません。

漏えい等報告の緩和

　上述のとおり、要配慮個人情報を含む個人データの漏えい等事態は、それがたとえ1件限りであったとしても、個人情報保護委員会への報告および本人への通知を要することとされています（法26条1項・2項、施行規則7条1号）。このうち個人情報保護委員会への報告に関し、認定個人情報保護団体などの第三者の確認を受けることを前提として、一定の範囲で速報を免除し、確報についても一定期間ごとの取りまとめ報告を許容することが検討されています ⁶。
　なお、漏えいした個人データに係る本人の数が僅少であったとしても、当該本人にとっての本人通知（法26条2項）の重要性は変わらないため、本人通知については緩和されない見通しです。

個人情報保護委員会への報告期限