「要配慮個人情報」と「金融分野における個人情報保護に関するガイドライン」における機微（センシティブ）情報の取扱いの比較

※本QAの凡例は以下の通りです。

• 改正個人情報保護法、個人情報保護法：個人情報の保護に関する法律及び行政手続における特定の個人を識別するための番号の利用等に関する法律の一部を改正する法律（平成27年9月9日法律第65号）に基づく改正後の個人情報保護法
• 改正個人情報保護法施行令：個人情報の保護に関する法律及び行政手続における特定の個人を識別するための番号の利用等に関する法律の一部を改正する法律の施行に伴う関係政令の整備及び経過措置に関する政令（平成28年10月5日政令第324号）に基づく改正後の個人情報の保護に関する法律施行令

　本年5月30日に施行された個人情報の保護に関する法律（以下「個人情報保護法」または「法」といいます）の改正に関して、平成29年2月29日に「金融分野における個人情報保護に関するガイドライン」（平成29年個人情報保護委員会・金融庁告示第1号、以下「金融分野ガイドライン」といいます）が公布されました。金融分野ガイドラインの平成29年5月30日の施行に伴い、金融庁所管の同題名のガイドライン（以下「旧・金融庁ガイドライン」といいます）は廃止されます（参照：金融庁「金融分野における個人情報保護に関するガイドライン」（平成21年11月20日金融庁告示第63号））。
　その中で、一番注目されたのは、旧・金融庁ガイドラインの「機微（センシティブ）情報」と改正個人情報保護法の「要配慮個人情報」がどのように、金融分野ガイドラインにおいて調整されるかでした。

対象となる情報

　旧・金融庁ガイドラインでは、「機微（センシティブ）情報」について、「政治的見解、信教（宗教、思想及び信条をいう。）、労働組合への加盟、人種及び民族、門地及び本籍地、保健医療及び性生活、並びに犯罪歴に関する情報」と定義されていました（旧・金融庁ガイドライン6条1項）。

　改正個人情報保護法では、「要配慮個人情報」は、「人種」、「信条」、「社会的身分」、「病歴」、「犯罪の経歴」、「犯罪により害を被った事実」、「身体障害、知的障害、精神障害等」「医師等の健康診断等の結果」、「医師等による指導・診療・調剤」、「刑事事件に関する手続」、「少年の保護事件に関する手続」とされています（改正個人情報保護法2条3項、改正個人情報保護法施行令2条）。

　新たな金融分野ガイドラインにおいては、「機微（センシティブ）情報」が、『要配慮個人情報並びに労働組合への加盟、門地、本籍地、保健医療及び性生活（これらのうち要配慮個人情報に該当するものを除く。）に関する情報（本人、国の機関、地方公共団体、法第76条第1項各号若しくは施行規則第6条各号に掲げる者により公開されているもの、又は、本人を目視し、若しくは撮影することにより取得するその外形上明らかなものを除く。）』と定義されています（金融分野ガイドライン5条1項）。
　すなわち、金融分野ガイドラインの「機微（センシティブ）情報」は、旧・金融庁ガイドラインの「機微（センシティブ）情報」と改正個人情報保護法の「要配慮個人情報」を併せたものとなります。

　これを図にすると以下のとおりとなります。

【「要配慮個人情報」と「機微（センシティブ）情報」の比較】

金融分野ガイドラインの「機微（センシティブ）情報」に含まれ、「要配慮個人情報」に含まれないもの

　金融分野ガイドラインの「機微（センシティブ）情報」は、改正個人情報保護法の「要配慮個人情報」にはない、「労働組合への加盟」、「門地」、「本籍地」、「性生活」が対象とされています。また、「機微（センシティブ）情報」の「保健医療」には、「要配慮個人情報」には含まれない、「医師等の診療等によらず、自己判断により市販薬を服用しているといったケース」も含まれます。

旧・金融庁ガイドラインの「機微（センシティブ）情報」には含まれず、「要配慮個人情報」に含まれたもの

　他方、改正個人情報保護法の「要配慮個人情報」には、旧・金融庁ガイドラインの「機微（センシティブ）情報」には含まれなかった「社会的身分」、「犯罪により害を被った事実」、「刑事事件に関する手続」、「少年の保護事件に関する手続」が対象となっています。これらは、金融分野ガイドラインの「機微（センシティブ）情報」には含まれることになります。　

旧・金融分野ガイドラインにも要配慮個人情報にも含まれるもの

　旧・金融分野ガイドラインの「政治的見解、信教（宗教、思想及び信条をいう）」は、要配慮個人情報の「信条」に含まれます。

「社会的身分」と「門地」

　「要配慮個人情報」の「社会的身分」は、ある個人にその境遇として固着していて、一生の間、自らの力によって容易にそれから脱し得ないような地位をいいます。これに対して、「機微（センシティブ）情報」の「門地」は、特殊の家系に基づく身分をいいます。したがって、両者が重なりあうことはありません。

「公開情報」と「外形情報」は「機微（センシティブ）情報」に該当しない

　なお、要配慮個人情報においては、本人の事前の同意取得の例外として定められている「公開情報」（本人、国の機関、地方公共団体、改正個人情報保護法76条1項各号もしくは個人情報保護法施行規則6条各号に掲げる者により公開されているもの）および「外形情報」（本人を目視し、もしくは撮影することにより取得するその外形上明らかなもの）については、「機微（センシティブ）情報」に該当しないものとされています。

行為規制（原則）

　改正個人情報保護法の「要配慮個人情報」については、原則としてあらかじめ本人の同意を得ない取得を禁止していますが、利用制限は特になく、個人データである要配慮個人情報については第三者提供の制限がある点のみ要配慮個人情報以外の個人データと異なります。

　他方、旧・金融庁ガイドライン、金融分野ガイドラインのいずれにおいても「機微（センシティブ）情報」については、原則として、取得、利用または第三者提供のいずれも禁止されます。

　以上のとおり、「機微（センシティブ）情報」の取扱いの原則は、「要配慮個人情報」の取扱いの原則よりも格段に厳しいものです。

行為規制（例外）

　金融分野の個人情報取扱事業者については、要配慮個人情報と機微（センシティブ）情報の規律を両方満たす必要があります。 金融分野ガイドラインの「機微（センシティブ）情報」は、原則として、取得、利用または第三者提供がいずれも禁止されるため、例外は比較的広く認められています。

　「要配慮個人情報」の例外の一つである「法令に基づく場合」（下表①）は日本の法令のみが該当すると考えられますが、「機微（センシティブ）情報」の「法令等に基づく場合」（下表ア）は外国の法令に基づく場合も含まれると考えられています。また、「要配慮個人情報」の例外である下表①（法令等に基づく場合）は、「機微（センシティブ）情報」の例外である下表ア（法令等に基づく場合）にも該当します。

　「要配慮個人情報」の例外である下表②から④までは、「機微（センシティブ）情報」の例外である下表イからエまでに相当すると考えられますが、「要配慮個人情報」については「本人の同意を得るのが困難であるとき」（下表②）や「本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき」（下表③・④）という、「機微（センシティブ）情報」にはない限定があります。

　「要配慮個人情報」の例外である下表⑤（公開情報）および下表⑥（外形情報）は、「機微（センシティブ）情報」の定義には該当しないこととされています（金融分野ガイドライン5条1項本文）。

　「要配慮個人情報」の例外である下表⑦「委託、事業承継、共同利用（改正個人情報保護法23条5項各号）において、個人データである要配慮個人情報の提供を受けるとき」は、金融分野ガイドラインには規定されていませんが、「第三者」に該当しないものとして（改正個人情報保護法23条5項参照）解釈上、「機微（センシティブ）情報」の取得・利用・提供が認められています。

　「機微（センシティブ）情報」の例外である下表ア～クのいずれかに該当し、かつ、「要配慮個人情報」（下表①～⑦）のいずれかに該当する場合は、あらかじめ本人の同意を得ることなく取得することができます。

　「機微（センシティブ）情報」の下表キおよびクの例外は、本人の同意がある場合であり、「要配慮個人情報」においても当然に取得・利用・提供が認められる場合です。

機微（センシティブ）情報の規定例

　「機微（センシティブ）情報」については、以下のような規定例が考えられます。
　「機微（センシティブ）情報」は「要配慮個人情報」の定義を包含すること、「機微（センシティブ）情報」の行為規制は「要配慮個人情報」の行為規制よりも厳しいことから、「機微（センシティブ）情報」の取扱いの規定のみ設けています。
　なお、例外については、「要配慮個人情報」の方が「機微（センシティブ）情報」よりも厳しいところもありますので、部分的に「要配慮個人情報」の例外としています。

本人確認書類の取扱いの留意点

　金融分野の事業者は、「機微（センシティブ）情報」の取得自体が原則として禁止されるので、本人確認書類に「機微（センシティブ）情報」の記載がある場合は、マスキング（黒塗り）をする必要があります。
　この点、従来の旧・金融庁ガイドラインでは「機微（センシティブ）情報」に該当すると考えられてきた運転免許証の「眼鏡等の条件欄の記載」や「臓器提供意思確認欄の記載」、パスポートの「国籍」や「本籍」の記載が、金融分野ガイドラインの「機微（センシティブ）情報」には該当しないということが「金融分野における個人情報保護に関するガイドライン（案）」に関する意見募集結果（平成29年2月29日）の別紙1：50、61で明らかになった点が注目されます。