課題Ⅰ 第２編 個人情報保護法の目的・基本理念と用語の定義
個人情報保護法は、高度情報通信社会の進展に伴い、個人情報の利用が著しく拡大していることを背景に制定されました。法第1条は、この法律の目的を定めています。そこでは、個人情報の適正かつ効果的な活用が新たな産業の創出や活力ある経済社会の実現に資するものであることを踏まえ、個人情報の有用性に配慮しつつ、個人の権利利益を保護すると規定されています。
The Personal Information Protection Act was enacted against the backdrop of the remarkable expansion in the use of personal information accompanying the advancement of the information and communication society. Article 1 establishes the purpose of this law. It stipulates that, taking into account that the proper and effective utilization of personal information contributes to the creation of new industries and the realization of a vibrant economy and society, the law protects the rights and interests of individuals while giving consideration to the usefulness of personal information.
試験で最も重要なのは、この法律が個人情報をただ守るだけの法律ではないという点です。法1条は「個人情報の有用性に配慮しつつ」と明記しており、保護と活用の「バランス」を図ることが立法趣旨です。具体的には、個人の権利利益の保護、個人情報の有用性への配慮、そして個人情報の適正な取扱いという三つの柱が掲げられています。
The most important point for the exam is that this is NOT a law solely about protecting personal information. Article 1 expressly states "while giving consideration to the usefulness of personal information," meaning the legislative intent is to strike a BALANCE between protection and utilization. Specifically, three pillars are stated: protection of individual rights and interests, consideration for the usefulness of personal information, and proper handling of personal information.
基本理念（法第3条）
法第3条は基本理念を定めています。個人情報は個人の人格尊重の理念の下に慎重に取り扱われるべきものであり、その適正な取扱いが図られなければなりません。ここで注意すべきは、第3条は哲学的な理念規定であり、具体的な義務を課すものではないという点です。事業者への具体的な義務は第4章以降に規定されています。この理念は法全体を貫く基本的な考え方であり、他の条文を解釈する際の指針となります。
Article 3 establishes the fundamental principle. Personal information should be handled carefully under the principle of respect for individual personality, and its proper handling must be ensured. An important point to note is that Article 3 is a philosophical principle provision and does NOT impose specific obligations. Specific obligations on business operators are stipulated from Chapter 4 onward. This principle is the fundamental concept that permeates the entire law and serves as a guideline when interpreting other articles.
用語の定義（最も出題される分野）
個人情報（法2条1項）
個人情報は法第2条第1項で定義されています。それは生存する個人に関する情報であり、次の2つの類型があります。（a）当該情報に含まれる氏名、生年月日その他の記述等により特定の個人を識別できるもの（記述等型）、（b）個人識別符号が含まれるもの（個人識別符号型）です。重要なのは「生存する」個人に限定されている点です。死者の情報は原則として対象外ですが、死者の情報が同時に生存する遺族を識別できる場合は個人情報に該当します。また、氏名だけでも個人情報に該当しますが、生年月日だけでは特定の個人を識別できないため、単独では該当しません。生年月日＋氏名の組み合わせであれば該当します。
Personal information is defined in Article 2, Paragraph 1. It is information relating to a living individual, and there are two types: (a) information that can identify a specific individual by name, date of birth, or other descriptions contained in the information (description type), and (b) information that contains a personal identification code (personal identification code type). An important point is that it is limited to "living" individuals. Information about deceased persons is in principle excluded, but if information about a deceased person can simultaneously identify a living bereaved family member, it falls under personal information. Also, a name alone qualifies as personal information, but a date of birth alone does not because it cannot identify a specific individual. A combination of date of birth + name does qualify.
個人識別符号（法2条2項）
個人識別符号は法第2条第2項で定義され、2つの類型に分かれます。第1号は身体の特徴をコンピュータ用に変換した符号です。具体的には、DNA、指紋、虹彩、声紋、歩行の態様、静脈の形状、顔の骨格・皮膚の色・目・鼻・口その他の顔の特徴の7種類です。第2号は個人に割り当てられた番号・記号です。具体的には、パスポート番号、基礎年金番号、運転免許証番号、マイナンバー（個人番号）、住民票コード、健康保険の被保険者番号、在留カード番号、特別永住者証明書番号などがあります。携帯電話番号やメールアドレスは個人識別符号には該当しません。
Personal identification codes are defined in Article 2, Paragraph 2, and are divided into two types. Type 1 (Item 1) covers codes converted from bodily characteristics for computer processing. Specifically, there are 7 types: DNA, fingerprint, iris, voiceprint, gait pattern, vein pattern, and facial features (bone structure, skin color, eyes, nose, mouth, etc.). Type 2 (Item 2) covers numbers and symbols assigned to individuals. Specifically: passport number, basic pension number, driver's license number, My Number (individual number), resident certificate code, health insurance insured person number, residence card number, special permanent resident certificate number, and others. Mobile phone numbers and email addresses do NOT qualify as personal identification codes.
要配慮個人情報（法2条3項）
要配慮個人情報は法第2条第3項で定義されています。不当な差別、偏見その他の不利益が生じないよう、取扱いに特に配慮を要するものです。法と政令で列挙された全項目は次の通りです：①人種、②信条（宗教、思想を含む）、③社会的身分、④病歴、⑤犯罪の経歴（有罪判決確定歴）、⑥犯罪により害を被った事実（被害者情報）、⑦身体障害・知的障害・精神障害等があること、⑧健康診断等の結果、⑨医師等による指導・診療・調剤が行われたこと、⑩逮捕・捜索等の刑事手続が行われたこと、⑪少年の保護事件の手続が行われたこと。
Special care-required personal information is defined in Article 2, Paragraph 3. It requires particular care in handling to prevent unjust discrimination, prejudice, or other disadvantage. All categories enumerated in the law and government ordinance are: (1) race, (2) creed (including religion and ideology), (3) social status, (4) medical history, (5) criminal record (history of finalized guilty verdicts), (6) fact of having suffered harm from a crime (victim information), (7) having a physical, intellectual, or mental disability, (8) results of health examinations, (9) receiving medical guidance, treatment, or dispensing by a doctor, (10) criminal procedures such as arrest or search having been carried out, (11) juvenile protection case procedures having been carried out.
要配慮個人情報の取得には、原則として本人の同意が必要です（法第20条第2項）。これは通常の個人情報と異なる厳格な取扱いです。通常の個人情報の取得は利用目的の通知・公表で足りるのに対し、要配慮個人情報はあらかじめ本人の同意を得なければなりません。
Acquisition of special care-required personal information requires, in principle, the consent of the person (Article 20, Paragraph 2). This is stricter handling than ordinary personal information. While ordinary personal information acquisition only requires notification or publication of the purpose of use, special care-required personal information requires obtaining the person's consent in advance.
個人情報データベース等（法16条1項）
個人情報データベース等は法第16条第1項で定義されています。個人情報を含む情報の集合物であって、特定の個人情報を検索できるように体系的に構成したものです。コンピュータの電子的データベースだけでなく、紙の媒体であっても、目次、索引、符号等により容易に検索できる状態に整理されていれば該当します。ただし、利用方法から見て個人の権利利益を害するおそれが少ないものは除外されます。政令で定められた除外例として、市販の電話帳、カーナビ地図ソフト等があります。
A personal information database, etc. is defined in Article 16, Paragraph 1. It is a collection of information containing personal information that is systematically organized so that specific personal information can be searched. It covers not only electronic computer databases but also paper-based media, provided they are organized for easy searching via a table of contents, index, symbols, etc. However, items with a low risk of harming individual rights and interests considering their method of use are excluded. Exclusion examples prescribed by government ordinance include commercially available telephone directories and car navigation map software.
個人データ（法16条3項）
個人データは法第16条第3項で、個人情報データベース等を構成する個人情報と定義されています。つまり、散在している個人情報は「個人情報」ではありますが、「個人データ」にはなりません。データベースに入力・整理されて初めて「個人データ」となります。この区別は極めて重要です。安全管理措置（法23条）や第三者提供の制限（法27条）など、多くの義務は「個人データ」の段階から適用されます。
Personal data is defined in Article 16, Paragraph 3 as personal information that constitutes a personal information database, etc. In other words, scattered personal information is "personal information" but does NOT become "personal data." It only becomes "personal data" once it is entered and organized in a database. This distinction is extremely important. Many obligations such as security management measures (Article 23) and restrictions on third-party provision (Article 27) apply from the "personal data" level.
保有個人データ（法16条4項）
保有個人データは法第16条第4項で、個人情報取扱事業者が開示、内容の訂正・追加・削除、利用の停止・消去、第三者への提供の停止を行う権限を有する個人データと定義されています。2022年施行の改正法で大きな変更がありました。旧法では、6か月以内に消去することとなるデータは保有個人データから除外されていましたが、改正により、この6か月の除外要件は撤廃されました。短期保存のデータであっても保有個人データに該当し、本人からの開示・訂正・利用停止等の請求の対象となります。
Retained personal data is defined in Article 16, Paragraph 4 as personal data over which a personal information handling business operator has the authority to disclose, correct, add to, delete, suspend use of, erase, and suspend provision to third parties. A major change occurred with the amended law enforced in 2022. Under the old law, data scheduled for erasure within 6 months was excluded from retained personal data, but this 6-month exclusion requirement was abolished by the amendment. Even short-term stored data now qualifies as retained personal data and is subject to disclosure, correction, and use suspension requests from the individual.
個人情報取扱事業者（法16条2項）
個人情報取扱事業者は法第16条第2項で、個人情報データベース等を事業の用に供している者と定義されています。2015年改正以前は、過去6か月以内に5,000件を超える個人情報を取り扱った者のみが対象でした。この5,000件要件は2015年改正（2017年施行）で撤廃され、個人情報データベース等を事業に利用するすべての事業者が対象です。小規模な事業者や個人事業主、NPO法人、自治会、同窓会等も含まれます。ただし、国の機関、地方公共団体、独立行政法人等は除外されます（これらには別途第5章の規定が適用されます）。
A personal information handling business operator is defined in Article 16, Paragraph 2 as an entity that uses a personal information database, etc. for business purposes. Before the 2015 amendment, only entities that handled more than 5,000 personal information items within the past 6 months were subject. This 5,000-item requirement was abolished by the 2015 amendment (enforced 2017), and all business operators that use personal information databases for business are now subject. This includes small-scale operators, sole proprietors, NPOs, neighborhood associations, alumni associations, etc. However, national agencies, local public organizations, and independent administrative corporations are excluded (separate provisions in Chapter 5 apply to them).
仮名加工情報（法2条5項）
仮名加工情報は法第2条第5項で、個人情報を加工して、他の情報と照合しない限り特定の個人を識別できないようにしたものと定義されています。2020年改正（2022年施行）で新設されました。目的は、事業者内部でのデータ分析・統計利用を促進することです。主な特徴として、第三者提供は原則禁止、本人への連絡等の目的での利用も禁止、元の個人情報に戻すための照合（再識別）は禁止、ただし技術的には照合用の追加情報が存在するため復元は可能です。開示・訂正・利用停止請求の対象外であり、利用目的の変更制限が緩和されています。
Pseudonymized information is defined in Article 2, Paragraph 5 as information processed from personal information so that a specific individual cannot be identified unless cross-referenced with other information. It was newly established by the 2020 amendment (enforced 2022). Its purpose is to promote internal data analysis and statistical use by business operators. Key characteristics: third-party provision is prohibited in principle; use for contacting the person is prohibited; cross-referencing to restore the original personal information (re-identification) is prohibited; however, technically restoration IS possible because the additional information for cross-referencing still exists. It is exempt from disclosure, correction, and use suspension requests, and restrictions on changing the purpose of use are relaxed.
匿名加工情報（法2条6項）
匿名加工情報は法第2条第6項で、個人情報を加工して特定の個人を識別できず、かつ当該個人情報を復元できないようにしたものと定義されています。2015年改正で導入されました。最大の特徴は不可逆性です。元の個人情報への復元は設計上不可能です。第三者提供が可能であり、ビッグデータの利活用を促進する目的で設けられました。作成時には加工基準に従う義務があり、提供時には含まれる情報の項目を公表する義務があります。
Anonymized processed information is defined in Article 2, Paragraph 6 as information processed from personal information so that a specific individual cannot be identified AND the original personal information cannot be restored. It was introduced by the 2015 amendment. The greatest characteristic is its irreversibility — restoration to the original personal information is impossible by design. Third-party provision IS possible, and it was established to promote big data utilization. There is an obligation to follow processing standards when creating it, and an obligation to publicize the items of information contained when providing it.
個人関連情報（法2条7項）
個人関連情報は法第2条第7項で、生存する個人に関する情報であって、個人情報、仮名加工情報、匿名加工情報のいずれにも該当しないものと定義されています。具体的には、Cookie情報、閲覧履歴、購買履歴、位置情報、端末識別ID等が該当します。提供元では個人を識別できないが、提供先で他の情報と結びつくことで個人データとなるケースを想定しています。提供先で個人データとなることが想定される場合、提供元は本人の同意が得られていることを確認する義務があります（法第31条）。2020年改正で新設された概念であり、DMP（データ・マネジメント・プラットフォーム）等によるCookie連携を念頭に置いた規定です。
Personal-related information is defined in Article 2, Paragraph 7 as information relating to a living individual that does not fall under personal information, pseudonymized information, or anonymized processed information. Specifically, this includes cookie information, browsing history, purchasing history, location data, device identification IDs, etc. It envisions cases where the information source cannot identify the individual, but the information becomes personal data at the destination when linked with other information. When it is expected that such information will become personal data at the recipient, the source has an obligation to confirm that the person's consent has been obtained (Article 31). This concept was newly established by the 2020 amendment, with provisions designed with DMP (Data Management Platform) cookie linking in mind.
国および地方公共団体の責務・施策（法4条〜13条）
法第4条〜第13条は、国および地方公共団体の責務と施策を規定しています。国は個人情報の適正な取扱いに関する施策を総合的に策定・実施する責務を負います（第4条）。地方公共団体は、国の施策に準じて、その区域の特性に応じた施策を策定・実施する責務を負います（第5条）。
Articles 4 through 13 stipulate the duties and policy measures of the national government and local public organizations. The national government bears the duty to comprehensively formulate and implement policy measures regarding the proper handling of personal information (Article 4). Local public organizations bear the duty to formulate and implement policy measures suited to the characteristics of their area, in accordance with national policy measures (Article 5).
国の具体的な施策として以下が定められています。法制上の措置等（第6条）：必要な法律・制度の整備。啓発活動（第9条）：国民への教育・広報活動。苦情処理のための措置（第10条）：苦情の適切かつ迅速な処理のための体制整備。国際協力（第8条）：個人情報保護に関する国際的な取組への協力。個人情報の適正な取扱いを確保するための措置（第11条〜第13条）。
The following specific national policy measures are stipulated: Legal measures, etc. (Article 6): development of necessary laws and systems. Awareness-raising activities (Article 9): education and publicity activities for citizens. Measures for complaint handling (Article 10): development of systems for appropriate and prompt complaint handling. International cooperation (Article 8): cooperation with international efforts regarding personal information protection. Measures to ensure proper handling of personal information (Articles 11-13).
個人情報保護委員会は、これらの施策を一元的に担う独立機関として重要な役割を果たしています。内閣府の外局として設置され、監督権限（報告徴収、立入検査、指導、助言、勧告、命令）を有します。2015年改正で権限が強化され、各省庁が持っていた監督権限を集約しました。
The Personal Information Protection Commission plays an important role as the independent agency that centrally manages these policy measures. Established as an external bureau of the Cabinet Office, it has supervisory authority (report collection, on-site inspection, guidance, advice, recommendation, orders). Its authority was strengthened by the 2015 amendment, consolidating supervisory authority previously held by various ministries.