「個人データ」とは何でしょうか？：やさしく読む「個人情報保護法」（2）（1/3 ページ）

　2005年4月を迎え、「個人情報の保護に関する法律」（以下、個人情報保護法）が全面施行となりました。皆さんの会社では、法施行に合わせ「個人情報取扱事業者」としての仕組みづくりは整っていますか？

　前回、個人情報保護法の概略と、基本的な部分の理解のために「個人情報」の解説をしました。2回目の今回は、個人情報保護法の中で使われている「個人情報データベース等」「個人データ」「保有個人データ」といったキーワードを解説していきます。

　この法律では、情報主体（個人情報を提供する本人）のさまざまな権利と個人情報取扱事業者の義務をうたっていますが、果たして、保有しているすべての個人情報について何から何まで対応しなくてはならないのでしょうか？

　今回も個人情報保護法と、経済産業省「個人情報の保護に関する法律についての経済産業分野を対象とするガイドライン」を参照しながら解説していきます。

個人情報データベース等とは

　前回、この法律の対象は個人情報取扱事業者であることを解説しました。つまり、個人情報データベース等を事業の用に供している者だけが対象となります。今回は、個人情報データベース等という言葉に注目します。

　法では、以下のように個人情報データベース等を定義しています。

　ここでのキーワードは2つです。

　法で「政令で定めるもの」としている「個人情報の保護に関する法律施行令」（以下、政令）では、次のような定義をしています。

　電子計算機＝コンピュータで個人情報が管理される場合、多くの場合データベースのような形になっています。「体系的に構成したもの」とは、このデータベースのようなものを指しています。コンピュータの処理能力を持ってすれば、何万件、何千万件といった個人情報の中から、1人の個人情報を探し出すことは容易である、といえます。

　また、コンピュータを用いなくても、紙の情報も「検索できるよう体系的に構成」されていれば、個人情報データベース等に当たります。例えば、五十音順や、年月日などで整理されており、目次や索引があり、容易に検索できる形であれば、個人情報データベース等になるということです。

　経済産業省のガイドラインでは、個人情報データベース等に該当する事例として以下のようなものを挙げています。

　特に、日常の業務の中で蓄積されていく個人情報に「名刺」があります。名刺は、個人の氏名が載っていますので個人情報となりますが、保管の仕方によって、個人情報データベース等に当たることになります。コンピュータに入力しないまでも、部内などで名刺を取りまとめてファイリングし、簡単に検索できるようになっていれば、個人情報データベース等となります。

　これら個人情報データベース等に含まれる特定の個人の数が、5000人を超えることが、個人情報取扱事業者となる条件となります。顧客情報だけでなく、社員・取引先情報も含みますので、よほどの小規模事業者でない限り、個人情報取扱事業者となることがご理解いただけると思います。

　また、個人情報データベース等に関してよく議論されるものに、電話帳やカーナビゲーションシステムがあります。これらも大量の個人情報が含まれるデータベースであることには間違いありません。ただし、これらの情報が配布された（または購入した）もので、加工・追加などすることなく、そのまま利用する限りにおいては「特定の個人の数」には含まれず、法第十九条から二十三条までの義務は適用されないとしています。

　ただし、電話帳やカーナビゲーション内の個人情報を取り出すなどして、ほかのデータベースを作ったり、新たに個人情報を追加したりする場合は、個人情報データベース等に当たりますので注意しましょう。