個人識別符号とは？定義や該当する／しないものの具体例

　本稿で用いる資料等の略称は次のとおりです。

個人識別符号とは

個人識別符号の定義

　個人識別符号とは、生存する個人に関する情報であって、その情報単体から特定の個人を識別することができるものとして政令に定められた文字、番号、記号その他の符号をいい、これに該当するものが含まれる情報は個人情報となります（法2条2項）。

　個人識別符号は、①個人の身体的特徴に関する符号（同項1号）と、②個人に割り当てられる符号（同2号）の2つの類型に分けられます。各類型の政令における定めや具体例等については、後述2、3をご参照ください。

　なお、同法2条2項2号の「その利用者若しくは購入者又は発行を受ける者ごとに異なるものとなるように」とは、文字、番号、記号その他の符号が利用者等によって異なるようにすることをいいます ¹。ただし、「政令で定めるもの」として施行令1条2号以下に掲げられているものは、いずれも公的機関が個人に割り当てる符号であり、民間事業者が独自に割り当てる符号は、法2条2項2号の個人識別符号には該当しません。

個人識別符号の意義と背景

　個人識別符号は、平成27年改正で新たに設けられたカテゴリーです。
　この平成27年改正前における「個人情報」の定義は、「生存する個人に関する情報であって、当該情報に含まれる氏名、生年月日その他の記述等により特定の個人を識別することができるもの（他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなるものを含む）」（改正前法2条1項）とされていました（現行法2条1項1号の個人情報の定義と同じ）。
　しかし、パーソナルデータ（個人の行動・状態等に関する情報等）の中には、現状では個人情報として保護の対象に含まれるか否かが事業者にとって明らかでないために、「利活用の壁」となっているものがあるとの指摘がありました。具体的には、①指紋認識データや顔認識データのような個人の身体の特徴をコンピュータの用に供するために変換した符号や、②パスポート番号や運転免許証番号のような個人に割り当てられた符号です。

　このため、平成27年改正では、個人の権利利益の保護と事業活動の実態に配慮しつつ、新たに「個人識別符号」に該当するものを定めて、個人情報に含まれることを明確化しました。

「個人の身体的特徴に関する符号」とは

　1-1で述べた個人識別符号の2つの類型のうち、まずは①個人の身体的特徴に関する符号（法2条2項1号）について詳しく説明していきます。

定義

　個人の身体的特徴に関する符号（法2条1項1号）について、政令には以下のように定められています（施行令1条1号、下線は筆者）。

　身体的特徴については、政令で掲げられたもののうち、特定の個人を識別するに足りるものの要件を法令上明確にする必要があるところ、技術の進歩に応じて頻繁に見直しを行う可能性があることから、個人情報保護委員会規則でその基準を定めることとしています。

具体例

　「個人情報保護委員会規則で定める基準」としては、特定の個人を識別することができる水準が確保されるよう、適切な範囲を適切な手法により電子計算機の用に供するために変換することとされています（施行規則2条）。
　この基準に適合し、個人識別符号に該当することとなるものは次のとおりです（GL通則編2-2）。

　なお、上記イ〜チにおける「本人を認証することができるようにしたもの」とは、登録された顔の容貌やDNA、指紋等の生体情報をある人物の生体情報と照合することで、特定の個人を識別することができる水準である符号を想定しています（Q&A1-22）。これは、「本人を認証することができるだけの水準がある」という趣旨であり、事業者が実際に認証を目的として取り扱っている場合に限定しているものではありません（Q&A1-23）。

　また、上記イにおけるいわゆるゲノム情報に関して、個人情報保護委員会および経済産業省は、「経済産業分野のうち個人遺伝情報を用いた事業分野における個人情報保護ガイドライン」を定め、ゲノム情報を安全に保護し、またサービスの質を確保するために事業者が遵守すべき措置を明らかにしていますので、必要に応じて参照してください。

顔認証データの取扱いについて

　個人情報取扱事業者は、顔識別機能付きカメラシステムにより特定の個人を識別することができるカメラ画像やそこから得られた顔特徴データを取り扱う場合、個人情報を取り扱うことになるため、利用目的をできる限り特定し、当該利用目的の範囲内でカメラ画像や顔特徴データ等を利用しなければなりません（法17条1項）。
　具体的には、どのような個人情報の取扱いが行われているかを本人が利用目的から合理的に予測・想定できる程度に利用目的を特定しなければならないため、従来型防犯カメラの場合と異なり、犯罪防止目的であることだけではなく、顔識別機能を用いていることも明らかにして、利用目的を特定しなければなりません（Q&A1-14）。

　顔識別機能付きカメラシステムを利用する場合は、設置されたカメラの外観等から犯罪防止目的で顔識別機能が用いられていることを認識することが困難であるため、「取得の状況からみて利用目的が明らかであると認められる場合」（法21条4項4号）に当たらず、個人情報の利用目的を本人に通知し、または公表しなければなりません。また、顔識別機能付きカメラシステムに登録された顔特徴データ等が保有個人データに該当する場合には、保有個人データに関する事項の公表等（法32条）をしなければなりません（Q&A1-14）。
　加えて、上記のとおり利用目的の通知・公表をしなければならず、また、本人から理解を得るためできる限りわかりやすく情報提供を行うため、顔識別機能付きカメラシステムの運用主体、同システムで取り扱われる個人情報の利用目的、問い合わせ先、さらに詳細な情報を掲載したWebサイトのURLまたはQRコード等を店舗や駅・空港等の入口や、カメラの設置場所等に掲示することが望ましいと考えられます（Q&A1-14）。

　さらに、照合のためのデータベース（検知対象者のデータベース）に個人情報を登録するための登録基準を作成するにあたっては、対象とする犯罪行為等をあらかじめ明確にし、当該行為の性質に応じ、利用目的の達成に必要な範囲を超えて、個人情報が登録されることのないような登録基準としなければなりません（法18条1項）。たとえば、犯罪行為等の防止を目的とするときは、登録基準の内容（登録対象者）は、当該犯罪行為等を行う蓋然性が高い者に厳格に限定し、登録時にも当該犯罪行為等を行う蓋然性があることを厳格に判断することが望ましいと考えられます。また、登録事務を行ういずれの担当者においても同様の判断を行うことができる文書化された統一的な基準を作成するとともに、当該基準に従って一定の運用を行うことができる体制を整備することも重要です（Q&A1-14）。

　また、当初防犯目的のために取得したカメラ画像やそこから得られた顔特徴データを、マーケティング等の商業目的のために利用する場合には、目的外利用に該当するため、あらかじめ本人の同意を得なければなりません（法18条1項、Q&A1-15）。

　さらに、個人情報取扱事業者は、カメラにより特定の個人を識別することができる画像を取得する場合、個人情報を取得することとなるため、偽りその他不正の手段により取得してはなりません（法20条1項）。
　そのため、カメラの設置状況等から、カメラにより自らの個人情報が取得されていることを本人において容易に認識可能といえない場合には、容易に認識可能とするための措置を講じなければなりません。一般に、電光掲示板等に内蔵したカメラで撮影する場合には、掲示等がなければ、自らの個人情報が取得されていることを本人において容易に認識可能といえないと考えられるため、カメラが作動中であることを掲示する等、カメラにより自らの個人情報が取得されていることを本人において容易に認識可能とするための措置を講じなければなりません（Q&A1-16）。

　これに関連して、個人情報取扱事業者が、一連の取扱いにおいて、特定の個人を識別することができる顔画像を取得した後、顔画像から属性情報を抽出したうえで、当該属性情報に基づき当該本人向けに直接カスタマイズした広告を配信する場合、当該顔画像を直ちに削除したとしても、個人情報を取り扱って広告配信を行っていると解されます。このため、個人情報取扱事業者は、顔画像から抽出した属性情報に基づき広告配信が行われることを本人が予測・想定できるように利用目的を特定し（法17条1項）、これを通知・公表する（法21条1項）とともに、当該利用目的の範囲内で顔画像を利用しなければなりません（法18条1項、Q&A1-16）。

学術研究の用に供する目的の場合

　ゲノム情報や虹彩などは、医学系研究に用いられています。
　学術研究機関等 ² が学術研究目的でゲノムデータを取り扱う場合にも、個人情報保護法が適用されます。そのうえで、利用目的による制限（法18条1項）、要配慮個人情報の取得制限（法20条2項）、第三者提供の制限（法27条1項）等については、個人の権利利益を不当に侵害するおそれがある場合を除き、学術研究機関等に関する例外規定が設けられています（法18条3項5号・6号、20条2項5号〜7号、27条1項5号〜7号等）（Q&A1-24）。

　令和2年改正前までは、学術研究等で学術研究機関やそれらに属する者が、学術研究の用に供する目的で個人情報を取り扱う場合、従来と同様、個人情報保護法第4章の義務規定の適用除外とされていましたが、令和2年改正により限定的な例外規定となりました。

「個人に割り当てられる符号」とは

　1-1で述べた個人識別符号の2つの類型のうち、②個人に割り当てられる符号（法2条2項2号）について説明します。

　個人に割り当てられる符号（法2条1項2号）について、次に掲げるものが個人識別符号として定められます（施行令1条2号～8号、施行規則3条、4条）。各種被保険者証の番号等の根拠規定は、それぞれの省令にあるため、政令で規定することにはなじまないことから、個人情報保護委員会規則で定めることとされています。

　これらは、ケースバイケースではなくおよそいかなる場合においても特定の個人を識別することができる種類の符号であって、その利用実態等に鑑みて個人情報該当性を明確にする必要性の高いもののみを個人識別符号とすることとしています。

　なお、個人識別符号の具体的な内容については、技術の進歩や利用実態の変化等に応じて、適時適切に見直しを行うこととされています ³。

個人識別符号に該当しないもの

携帯電話番号、クレジットカード番号、国家資格の登録番号など

　携帯電話番号やクレジットカード番号は、法人契約などさまざまな契約形態や運用実態があり、およそいかなる場合においても特定の個人を識別することができるとは限らないこと等から、個人識別符号に位置付けられていません（Q&A1-25）。
　また、国家資格の登録番号については、実態として広い範囲の事業者に取り扱われていないため、個人識別符号として定める必要性に乏しいことから、個人識別符号とされていません。
　血液型、性別、電話番号、メールアドレス、携帯端末ID、SNSサービスのIDも個人識別符号には該当しません。

個人識別符号に該当しないが個人情報に該当するもの

　もっとも、これらの個人識別符号に該当しない文字、記号、番号等の符号も「当該情報に含まれる氏名、生年月日その他の記述等により特定の個人を識別することができるもの（他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなるものを含む）」（法2条1項1号）に該当するものは、個人情報に該当します。
　とりわけ、会社のメールアドレスについては、特定の個人が識別されるものとして、個人情報に該当する場合が多いと考えられます。たとえば、筆者の1人である渡邉の事務所のメールアドレスは氏名の一部と事務所のドメイン名を組み合わせたものですが、こうしたメールアドレスについては、個人情報に該当すると考えられます。

他の関連用語との関係

　個人情報における個人識別符号や各種データの位置付けは、おおむね下図のように整理できます。

個人情報保護法における各種データのイメージ

個人情報

　個人情報保護法において、「個人情報」とは、生存する個人に関する情報であって、当該情報に含まれる氏名、生年月日、その他の記述等により特定の個人を識別することができるもの（他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなるものを含む）、または個人識別符号が含まれるものをいいます（法2条1項）。
　つまり、個人識別符号を含む個人に関する情報は、個人情報保護法上の「個人情報」に該当します。

要配慮個人情報

　「要配慮個人情報」とは、人の人種、信条、社会的身分、病歴、犯罪の経歴、犯罪により害を被った事実その他本人に対する不当な差別、偏見その他の不利益が生じないようにその取扱いに特に配慮を要するものとして政令で定める記述等が含まれる個人情報をいいます（法2条3項）。
　具体的には、次のようなものがこれに当たります。

　要配慮個人情報の取得には、原則として本人の同意が必要であり、オプトアウトによる第三者提供は認められていません。また、要配慮個人情報が含まれる個人データについては、1件のみであっても、漏えい等が発生し、または発生したおそれがある事態が生じた場合には、個人情報保護委員会に報告しなければなりません。

　たとえば、ゲノム情報は、基本的には、上記「本人に対して医師その他医療に関連する職務に従事する者（医師等）により行われた疾病の予防及び早期発見のための健康診断その他の検査（健康診断等）の結果」に含まれると考えられることから要配慮個人情報に該当し、また、通常は特定の個人を識別することができると考えられることから、個人識別符号にも該当すると考えられます。

匿名加工情報

　「匿名加工情報」とは、個人情報を個人情報の区分に応じて定められた措置を講じて特定の個人を識別することができないように加工して得られる個人に関する情報であって、当該個人情報を復元して特定の個人を再識別することができないようにしたものをいいます。（法2条6項、GL仮名加工情報・匿名加工情報編3-1）。

　この匿名加工情報を作成するにために必要な措置は、「個人情報のうち個人識別符号が含まれないもの」と「個人情報のうち個人識別符号が含まれるもの」とで異なります（法2条6項）。

　匿名加工情報は、平成27年改正により、平成29年5月30日に導入された制度です。
　この匿名加工情報は、「個人情報」には該当せず、一定のルールの下で本人の同意を得ずに第三者に提供することが可能です ⁴。

仮名加工情報

　「仮名加工情報」とは、個人情報を、その区分に応じて次に掲げる措置を講じて他の情報と照合しない限り特定の個人を識別することができないように加工して得られる個人に関する情報をいいます（法2条5項、GL仮名加工情報・匿名加工情報編2-1-1）。
　仮名加工情報は、令和2年改正により、令和4年4月1日に導入された制度です。

　この仮名加工情報を作成するにあたって必要な措置は、上述5-3の匿名加工情報と同様に、「個人情報のうち個人識別符号が含まれないもの」と「個人情報のうち個人識別符号が含まれるもの」とで異なります（法2条5項各号）。

　仮名加工情報を作成した個人情報取扱事業者においては、通常、当該仮名加工情報の作成の元となった個人情報や当該仮名加工情報に係る削除情報等を保有していると考えられることから、原則として「個人情報」に該当し、第三者への提供が禁止されています（法41条6項）⁵。事業者内部でしか利用できない点が匿名加工情報とは異なります。

個人データ

　「個人データ」とは、「個人情報データベース等」を構成する個人情報を指します。ここでいう「個人情報データベース等」とは、特定の個人情報をコンピュータ等を用いて検索することができるように体系的に構成した個人情報を含む情報の集合体をいいます。
　したがって、個人情報のうち体系的に整理されていないものについては、「個人データ」には該当しません。

保有個人データ

　「保有個人データ」とは、個人データのうち、個人情報取扱事業者が、開示、内容の訂正、追加または削除、利用の停止、消去および第三者への提供の停止を行うことのできる権限を有するものをいいます。
　したがって、委託を受けて取り扱っている個人データや、個人情報のうち体系的に整理されていないもの（「個人データ」に該当しないもの）については、「保有個人データ」には該当しません。

個人識別符号を含む個人情報に求められる安全管理措置

　以上のとおり、「個人識別符号を含むもの」は個人情報に当たります。
　したがって、事業者は、個人識別符号が含まれるデータベース・帳票・リスト（入退出管理に利用する指紋等認証データや本人確認資料として取得する運転免許証番号等のデータベース）を作成した場合、個々の個人識別符号を含むそれらの情報を個人データとして取り扱うことが求められます。すなわち、当該リスト等を作成した場合、個人データとして安全管理措置を講ずる必要があります。

個人識別符号を含む個人情報に関するリスクと罰則

漏えい時の対応

　令和2年改正により、個人情報取扱事業者は、その取り扱う個人データの漏えい、滅失、毀損のうち、一定のものが生じたときは、当該事態が生じた旨を個人情報保護委員会に報告するとともに、本人への通知が求められることになりました（法26条）。個人識別符号を含む個人情報をリスト化等した情報は「個人データ」に該当しますので、法26条に沿った対応が必要となります。

　この点、テンプレート保護技術を施した個人識別符号について、高度な暗号化等の秘匿化がされており、かつ、当該個人識別符号が漏えいした場合に、漏えいの事実を直ちに認識し、テンプレート保護技術に用いる秘匿化のためのパラメータを直ちに変更するなど漏えいした個人識別符号を認証に用いることができないようにしている場合には、「高度な暗号化その他の個人の権利利益を保護するために必要な措置」を講じていることになるため、報告は不要と考えられます（Q&A6-17）。

違反時のリスク・罰則

　個人情報取扱事業者が、個人情報保護法の義務規定に違反し、不適切な個人情報、個人関連情報の取扱いを行っている場合には、個人情報保護委員会は、必要に応じて、当該個人情報取扱事業者等その他の関係者に対して報告徴収・立入検査を実施し（法146条）⁶、当該個人情報取扱事業者等に対して指導・助言を行い（法147条）、また、勧告・命令を行う（法148条）ことができます。

　ここでいう「指導・助言」に関して、個人情報保護委員会は、国民への情報提供等（法9条）として（GL通則編4）、その権限行使の内容が「指導」であっても、事案の性質に応じて公表するという運用をしているように見受けられます。すなわち、ひとたび個人データの漏えい等が発生した場合、個人情報取扱事業者の実名とともに、個人データの漏えいが発生した事実等が公表され、個人情報取扱事業者の実名のレピュテーションが害される可能性が否定できないところです。

　個人情報保護委員会からの報告徴収・立入検査に応じなかった場合や、報告徴収に対して虚偽の報告をした場合等には、刑事罰（50万円以下の罰金）が科される可能性があります（法182条）。また、個人情報保護委員会の命令に個人情報取扱事業者等が違反した場合には、個人情報保護委員会は、その旨を公表することができ（法148条4項）、加えて、当該命令に違反した者には、刑事罰（1年以下の懲役または100万円以下の罰金）が科される可能性があります（法178条）。

　なお、個人情報取扱事業者もしくはその従業者またはこれらであった者が、その業務に関して取り扱った個人情報データベース等（その全部または一部を複製し、または加工したものを含む）を自己もしくは第三者の不正な利益を図る目的で提供し、または盗用したときは、刑事罰（1年以下の懲役または50万円以下の罰金）が科される可能性があります（法179条）。

　さらに、法人の代表者または法人もしくは人の代理人、使用人その他の従業者がその法人または人の業務に関して、上記の罰則の対象となる行為を行った場合には、両罰規定により、行為者に加え、その法人や人にも罰金刑が科される可能性があります（法184条）。

　具体的には、従業者等が法人の業務に関して、①法178条または法179条に掲げる違反行為を行った場合、当該法人には、1億円以下の罰金刑が科される可能性があり、②法182条に掲げる違反行為を行った場合、当該法人には50万円以下の罰金刑が科される可能性があります。また、従業者等が人の業務に関して、法178条、179条および182条に掲げる違反行為を行った場合には、当該人に対して、当該違反行為を定める各条文に規定する罰金刑が科される可能性があります（Q&A11-1）。

【関連するBUSINESS LAWYERS LIBRARYの掲載書籍】

『Q＆Aで学ぶ 企業におけるパーソナルデータ利活用の法律実務 − 令和2年改正個人情報保護法と実務対応 − 』
発売日：2021年07月23日
出版社：日本加除出版
編著等：関原 秀行
BUSINESS LAWYERS LIBRARYで読む

---

『新・個人情報保護法の逐条解説』
発売日：2021年12月20日
出版社：有斐閣
編著等：宇賀 克也
BUSINESS LAWYERS LIBRARYで読む

---

『ストーリーとQ&Aで学ぶ改正個人情報保護法〔第2版〕』
発売日：2022年08月01日
出版社：日本加除出版
編著等：関原 秀行
BUSINESS LAWYERS LIBRARYで読む