【用語集】個人情報の定義は何ですか？どこまで含まれるのですか？

個人情報、個人情報と言われますが、正式な定義は何なんでしょうか？
どこまで含まれるのでしょうか？

この記事では、Pマークにおける「個人情報」とは何かについて、具体的にどこまでが個人情報なのか、についても紹介をします。

「個人情報」とは、個人に関する情報であって，当該情報に含まれる氏名、生年月日その他の記述などによって特定の個人を識別できるもの（他の情報と容易に照合することができ，それによって特定の個人を識別することができることとなるものを含む。）。（個人情報保護マネジメントシステム―要求事項第3条）

※個人情報保護法では「生存する個人」に制限していますが、JIS Q 15001：2006（個人情報保護マネジメントシステムー要求事項）では、「死者の情報」も含めた定義となっています。

この定義の中から、重要な部分だけ取り出すとこうなります。

「個人情報」とは、個人に関する情報であって、特定の個人を識別できるもの。

つまり、

(A) 一人の人に関する情報であって、

(B) それが誰であるかが明確である場合は

個人情報と言えましょう。

ですから、個人情報の例としては、下記のようなものがあげられます。

（１）氏名
（２）「tanaka.taro@abc-shoji.co.jp」のように団体と氏名から本人を特定できるメールアドレス
（３）個人を識別できる写真、ビデオ画像、電話録音など
（４）従業員の評価情報
（５）インターネット、官報、電話帳などで公開されている個人に関する情報
（６）氏名と関連付けられている全ての情報　　など

ここまでの内容は、従来からの定義として、様々な書籍やネット上の解説などどこにでも載っていると思います。

ただし、最近、特に上記の例の最後にあげた「（６）氏名と関連付けられている全ての情報」という部分に関して、いろいろと誤解や議論があるようですので、ここで明確にしたいと思います。

今回は、例として、コンビニの売上データを取り上げ、それが個人情報になるかどうかを解説します。

パターン（１）無記名のレシートは個人情報にならない

例えば、下記の様なコンビニの売上データがあるとします。

セブンマート新橋支店
日時	202●年7月12日13時56分
鮭にぎり	111円
烏龍茶	138円
日経新聞	148円
小計	397円
消費税	39円
合計	436円

これは一人のお客さんが買っていた売上情報になりますので、(A) 一人の人に関する情報の条件を満たします。しかし、このデータだけでは誰に関する情報か分からないため、(B) それが誰であるかが明確でなく、個人情報とはなりません。

パターン（２）名前の入ったレシートは個人情報になる

しかし、このコンビニでは、独自のポイントカードシステムを運用していて、お客様にポイントカードの利用を推奨していました。そのために、売上データの最後にポイントカードの作成時に登録した名前が入っていたとします。

セブンマート新橋支店
日時	202●年7月12日13時56分
鮭にぎり	111円
烏龍茶	138円
日経新聞	148円
小計	397円
消費税	39円
合計	436円
氏名	山田太郎

こうなると、(A) 一人の人に関する情報であって、(B) それが誰であるかが明確であるので、この売上データ全体は個人情報となります。ここで間違えてほしくないのは「名前」だけが個人情報になるのではなくて、先ほどまで個人情報でなかった「日時」や「鮭にぎり　111円」という購入明細の部分も個人情報になるのです。

パターン（３）お店にとっては個人情報にならなくても、ポイント会社にとっては個人情報となる場合がある

では、独自のポイントカードではなく、最近よくある「共通ポイントカードシステム」に参加していて、お店では番号は分かるもののお客様の名前は分からない場合はどうでしょうか？

セブンマート新橋支店
日時	202●年7月12日13時56分
鮭にぎり	111円
烏龍茶	138円
日経新聞	148円
小計	397円
消費税	39円
合計	436円
ポイントID	9181761152727291

このような場合には、お店としては、その人の名前などは分かりませんので、お店としては個人情報にはなりません。

しかし、この共通ポイントカードシステムを管理している会社としては、利用者データベースを使うことで「ポイントID：9181761152727291＝山田太郎さん」だと照合できますので、個人情報保護マネジメントシステム―要求事項第3条の条件にある他の情報と容易に照合することにより特定の個人を識別できるという条件に当てはまり、共通ポイントカードを管理している会社としては個人情報になります。