機微（センシティブ）情報とは？定義と具体例、留意点を解説

（本記事における略記）

機微情報とは

機微情報の定義

　機微（センシティブ）情報とは、金融分野ガイドライン等において規定されているもので、本人の信条や社会的身分、病歴など、漏えいした場合に犯罪に悪用されたり、本人に重大な不利益を及ぼしたりする可能性のある情報のことです。
　金融分野ガイドライン5条1項において、以下のとおり定義されています。

　この定義にあるとおり、機微情報とは、原則として、個人情報保護法上の要配慮個人情報に、①労働組合への加盟、②門地、③本籍地、④保健医療、および⑤性生活に関する情報を加えたものを指します。ただし、例外として、「公開情報」および「外形情報」については、機微情報には該当しません。
　「公開情報」については、次の者により公開されたもののみが、機微情報の定義から除外されているにとどまり、インターネットやSNS上に公開された情報が無制限に機微情報の定義から除外されるわけではない点に留意を要します。

　「外形情報」に関しては、たとえば、身体の不自由な方が店舗に来店し、対応した店員がその旨をお客様対応録等に記録した場合（目視による取得）や、身体の不自由な方の様子が店舗に設置された防犯カメラに映りこんだ場合（撮影による取得）などについて、機微情報に関する規律の対象外となります。

機微情報と要配慮個人情報の違い

　機微情報は、個人情報保護法上の「個人情報」の一種であり、その中には「要配慮個人情報」も含まれます。「個人情報」および「要配慮個人情報」との関係性は、以下のようなイメージです。

　金融分野ガイドラインは、金融分野（銀行、保険会社、証券会社、貸金業者、電子マネー事業者など）における個人情報取扱事業者を対象としており、主に個人データの管理・利用に関する規定を設けています。一方で個人情報保護法は、金融分野に限らず、広く個人情報取扱事業者を対象とするものです。

　なお、要配慮個人情報などの詳細は、下記の関連記事をご参照ください。

機微情報が規定された背景

　機微情報は、平成16年金融庁告示第67号「金融分野における個人情報保護に関するガイドライン」において初めて規定されました。これは、金融機関等が取り扱う情報のうち、特に配慮を要する個人情報について、個人情報保護法よりも厳格な取扱いを規定するために設けられたものです。

　その後、金融分野ガイドラインはこれまでに何度か内容が見直されており、以下本稿では、令和6年4月1日適用のガイドラインをもとに解説していきます。

機微情報の具体例

個人情報保護法2条3項に定める要配慮個人情報

　機微情報には、要配慮個人情報のすべての項目が含まれます。
　詳細は別稿「要配慮個人情報とは？該当する／しない具体例、取扱い規制など」に譲りますが、次のような情報が含まれます。

労働組合への加盟

　「労働組合への加盟」に関する情報について詳細な定義はありませんが、たとえば、組合員か否か、組合員である場合にどの組合に属しているかなどの情報がこれに該当するものと考えられます。

門地

　機微情報の「門地」は、特殊の家系に基づく身分をいいます。
　これに対して、要配慮個人情報の「社会的身分」は、ある個人にその境遇として固着していて、一生の間、自らの力によって容易にそれから脱し得ないような地位をいい、一応、両者は異なる概念であると整理されています。

本籍地

　「本籍地」に関する情報の意味合いは、字義のとおりです。
　もっとも、たとえば、本籍地として都道府県名のみが記載されているような場合は、これを機微情報として取り扱う必要はありません（平成29年パブコメ回答No.50）。また、「本籍地」欄に国籍情報が記載されることもままあるものと思われますが、こうした国籍情報も、機微情報には該当しません。

保健医療

　「保健医療」に関する情報には医師等の診断等によらず、自己判断により市販薬を服用しているといった情報を含みます（平成29年パブコメ回答No.52）。医師等の診断等の有無を問わない点において、要配慮個人情報よりも対象が広いといえます。

性生活

　「性生活」に関する情報について詳細な定義はありませんが、たとえば、性生活の存在・不存在等のほか、同性との性生活に関する情報などが含まれるものと考えられます。

機微情報に関する行為規制

機微情報の取扱いの原則

　金融分野の個人情報取扱事業者は、要配慮個人情報と機微情報の両方の規律を遵守する必要があります。

　個人情報保護法の要配慮個人情報については、原則としてあらかじめ本人の同意を得ない取得を禁止していますが、利用制限は特にありません。また、第三者提供の制限はオプトアウト提供が禁止される点のみ、要配慮個人情報以外の個人データと異なります。
　他方、機微情報については、本人の同意の有無を問わず、原則として、取得、利用または第三者提供のいずれも禁止されます。
　以上のとおり、機微情報の取扱いの原則は、要配慮個人情報の取扱いの原則よりも格段に厳しいものです。

機微情報の取扱いの例外

　上述のとおり、機微情報の取扱いの原則は厳しいものですが、例外は比較的広く認められています。
　機微情報と要配慮個人情報それぞれについて、取得・利用・第三者提供に関する例外をまとめたのが下表です。

取得・利用・第三者提供に関する例外

　上表の要配慮個人情報の例外㋐「法令に基づく場合」は、日本の法令・条例のみが該当すると考えられます。一方で、機微情報の例外①「法令等に基づく場合」は、外国の法令に基づく場合も含まれます（平成16年パブコメ回答No.150）。

　機微情報の例外②③④⑤は、要配慮個人情報の例外㋑㋒㋓㋕に相当すると考えられます。なお、要配慮個人情報の例外㋔は、個人情報取扱事業者が学術研究機関等に該当する場合における例外であるため、金融分野における個人情報取扱事業者を対象とする機微情報の例外には含まれていません。
　また、要配慮個人情報については、「本人の同意を得るのが困難であるとき」（㋑下線部分）や「本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき」（㋒㋓下線部分）という限定が付されています。これは、要配慮個人情報の取得が本人の同意を原則とするものであるのに対し、機微情報の取得・利用・提供については本人の同意の有無を問わないという規制の性質の違いにあるものと考えられます。

　要配慮個人情報の例外㋗「委託、事業承継、共同利用において、個人データである要配慮個人情報の提供を受けるとき」は、金融分野ガイドラインには規定されていませんが、「第三者」に該当しないものとして（法27条5項参照）、解釈上、機微情報の例外①～⑨の範囲内において、その提供が許容されています。

　要配慮個人情報でもある機微情報について、機微情報の例外①〜⑦のいずれかに該当し、かつ、要配慮個人情報の例外のいずれかに該当する場合は、あらかじめ本人の同意を得ることなく、当該機微情報＝要配慮個人情報を取得することができます。

　機微情報の例外⑧⑨は、本人の同意がある場合であり、要配慮個人情報においても当然に取得・利用・提供が認められる場合です。

　機微情報の例外⑧は、機微（センシティブ）情報の取得、利用または第三者提供について、以下を要件としています。

　たとえば、金融機関が保険金の支払いや借り手の与信判断をするために、被保険者や借り手の健康状態に関する情報を各種法令や社会通念等に照らし適切といえる方法で、かつ保険金の支払いや与信判断のために必要な範囲内で、被保険者や借り手から同意を得て取得することが考えられます。
　反対に、保険金の支払いや借り手の与信判断のために本籍地等に関する情報を取得することは、｢業務遂行上必要な範囲｣内であるとは認められないことから、原則として、取得等を行うことはできないものと考えられます。ただし、業務遂行上、本籍地の取得等の必要性が認められる場合は、例外として本籍地の取得等が認められることもあり得ます ¹。

違反した場合のペナルティ

　金融分野ガイドラインにおける機微情報に関する上乗せルールは、いずれも「～こととする」規定であることから、金融分野における個人情報取扱事業者がその規定に従わなかったとしても、そのことをもって法の規定違反と判断されることはありません。
　もっとも、機微情報に関する上乗せルールは、金融分野の個人情報の性質および利用方法に鑑み、個人情報の取扱いに関して、金融分野における個人情報取扱事業者に特に厳格な措置が求められる事項として規定されたものであり、金融分野における個人情報取扱事業者おいては、遵守に努めるものとされています（金融分野ガイドライン1条2項）。

　なお、個人情報保護委員会および金融庁は、これらの努力義務に関しても、個人情報保護法第4章第1節から第3節までの規定の施行に必要な場合には、その限度において、同法に規定された立入検査を行うことも排除されていないものとしています（平成29年パブコメ回答No.5）。

機微情報に関する取扱規程の規定例

　金融分野における個人情報取扱事業者が、個人情報取扱規程などを定める際には、機微情報について以下のような規定を設けることが考えられます。

　ここまで述べてきたとおり、機微情報は、要配慮個人情報の定義を包含し、またその行為規制は要配慮個人情報のものよりも厳しいことから、上記の規定例では機微情報の取扱いの規定のみ設けています。なお、例外については、機微情報よりも要配慮個人情報のほうが厳しいところもありますので、部分的に要配慮個人情報の例外としています。

本人確認書類の取扱いの留意点

　金融分野の個人情報取扱事業者は、機微情報の取得自体が原則として禁止されるので、本人確認書類に機微情報の記載がある場合は、マスキング（黒塗り）をする必要があります。
　なお、以下の情報は、旧金融庁ガイドラインでは機微情報に該当すると考えられていましたが、現行の金融分野ガイドラインでは機微情報に該当しないと明記されたので、マスキングは不要です。