個人情報保護法は、個人情報を役立てることに配慮しながら、本人の権利と利益を守るために、個人情報を扱う事業者が守る義務を定めた法律です。
個人情報・個人データ・保有個人データ
法律が守る個人情報は、生存する個人に関する情報のうち、次のどちらかにあたるものです。
個人情報の2つの入口
特定の個人を識別できる情報 … 氏名、生年月日、顔写真など。それだけでは分からなくても、ほかの情報と容易に照合して識別できるものを含む
個人識別符号を含む情報 … それ1つで本人が決まる符号として、政令が定めたもの
個人識別符号は2種類です。1つは身体の特徴をコンピュータで扱えるように変換したもので、DNAの塩基配列、顔、虹彩、声、歩き方、手のひらや指の静脈、指紋・掌紋が挙がっています。もう1つは、サービスの利用やカード・書類の発行にあたって1人ずつ異なるように割り当てられる番号のうち政令が定めたもので、いま挙がっているのは旅券（パスポート）の番号、基礎年金番号、運転免許証の番号、住民票コード、マイナンバー、各種保険の被保険者番号などです。
法人そのものの情報（会社の売上や所在地など）は個人情報ではありません。ただし、その会社の役員や従業員の情報は個人情報です。亡くなった人の情報も対象外ですが、遺族など生きている人の情報でもあれば、その人の個人情報になります。「個人」は日本国民に限らず、外国人も含みます。また、公開されている情報でも、個人を識別できれば個人情報です。
個人情報を、コンピュータで検索できるように（紙でも五十音順の索引を付けるなどして）体系的にまとめたものを個人情報データベース等といい、それを事業に使う者が個人情報取扱事業者です。扱う人数の多い少ないは問わず、営利かどうかも問いません（国の機関や地方公共団体などは別の規定）。事業者が守る義務は、扱う情報の段階ごとに増えていきます。
外側ほど広く、内側ほど事業者の義務が増えます。
3つの段階と、主な義務
個人情報 … 利用目的をできる限り特定する。偽りなど不正な手段で取得しない
個人データ（データベース等を構成する個人情報） … 漏えいなどを防ぐ安全管理措置をとる。重大な漏えいは個人情報保護委員会に報告し、本人に通知する
保有個人データ（事業者が開示・訂正・利用停止・消去などをする権限を持つ個人データ） … 本人から開示を求められたら応じる。違反した扱いなどがあれば、利用停止や消去の請求にも応じる
本人が開示や利用停止を求められる相手は、保有個人データです。 法律の運用を監督するのは個人情報保護委員会です。第三者に渡すときの決まり（同意の取り方など）は、プライバシー保護の手法の節で扱います。
ある会社の担当者が、社内のデータを整理しています。次のうち、それだけで個人情報にあたるものはどれですか。
× 法人そのものの情報なので、個人情報ではありません。取引先の担当者の氏名と連絡先であれば個人情報です。
× 特定の個人と結び付かない統計で、そもそも個人に関する情報ではありません。
○ 正解 採用の応募者から受け取った運転免許証の番号です。
運転免許証の番号は、政令が定めた個人識別符号です。氏名が添えられていなくても、それだけで個人情報にあたります。
× 会社の業務の数字で、特定の個人を識別できる情報を含みません。
要配慮個人情報
要配慮個人情報は、本人に対する不当な差別や偏見などの不利益が生じないよう、扱いに特に配慮が要る個人情報です。法律と政令が中身を列挙しています。
要配慮個人情報にあたる記述
法律が挙げるもの … 人種、信条（思想と信仰）、社会的身分、病歴、犯罪の経歴、犯罪により害を被った事実
政令が加えるもの … 心身の機能の障害、健康診断などの結果、医師などによる指導・診療・調剤を受けたこと、逮捕などの刑事事件の手続、少年の保護事件の手続
一覧に無いものは、要配慮個人情報ではありません。迷いやすいものを挙げておきます。国籍は法的な地位で、それだけでは人種に含まれません。学歴や職業上の地位は、社会的身分（境遇として身に付いていて、一生の間、自分の力では容易に抜け出せない地位）に含まれません。資産額や年収も一覧にありません。宗教の本を買ったという情報のように、信条を推し量れるだけのものも含みません。
扱いの違いは3つです。要配慮個人情報は、原則として本人の同意を得てからでないと取得できません。 本人が拒まない限り提供する方式（オプトアウト）で第三者に渡すこともできず、要配慮個人情報を含む個人データが漏えいしたとき（そのおそれがあるときも）は、個人情報保護委員会への報告が要ります。
仮名加工情報と匿名加工情報
個人情報を加工して、本人が分からない形でデータを活用するための仕組みが2つあります。どちらも、氏名などを削るか、元に戻せる規則性の無い方法で別の記号に置き換えて作ります。決まった計算で変換するなど、置き換えの規則から元の氏名を割り出せるやり方では、どちらの加工にもなりません。
仮名加工情報は元に戻す手がかりが社内に残り、匿名加工情報は戻せません。
2つの加工情報の違い
仮名加工情報 … ほかの情報と照合しない限り本人が分からないように加工したもの。削った氏名などの情報（削除情報等）は社内に残るので、厳重に管理する。社内での分析に使い、第三者への提供は原則禁止。本人を割り出すための照合も、本人への連絡に使うことも禁止
匿名加工情報 … 特定の個人を識別できず、元の個人情報に復元できないように加工したもの。作ったら含まれる項目を公表する。第三者に渡すときは、項目と提供の方法を公表し、匿名加工情報であることを相手に明示すれば、本人の同意なく提供できる。本人を割り出すための照合は禁止
匿名加工情報は、加工の基準も重くなります。氏名などを削るだけでなく、加工前の情報と加工後の情報を結び付けるIDなどの符号を削り、特異な記述も削るか一般的な記述に置き換えます（症例数のきわめて少ない病歴を削る、「116歳」を「90歳以上」にする、など）。外に出して使うなら匿名加工情報、社内で分析するなら仮名加工情報です。なお、官公庁が公表している統計のように、もともと特定の個人と結び付かない情報は、個人に関する情報ではないので、どちらの加工情報でもありません。
通販会社が、購入履歴を使って売れ筋を分析することにしました。分析は社内のデータ分析部門だけで行い、外部には渡しません。氏名は記号に置き換えますが、置き換えの対応表は情報システム部門が厳重に保管します。この加工で作る情報として、最も適切なものはどれですか。
× 匿名加工情報は元の個人情報に復元できないように加工したものです。対応表が社内に残っていて照合すれば本人が分かる状態は、これにあたりません。
× 病歴や信条など、差別や偏見につながる記述を含む個人情報のことで、加工の種類ではありません。購入履歴は一覧にありません。
× 旅券の番号や指紋のデータなど、それ1つで本人が決まる符号として政令が定めたものです。会社が分析のために付けた記号はこれにあたりません。
○ 正解 仮名加工情報です。
対応表（削除情報等）と照合しない限り本人が分からない状態で、社内の分析に使い、外部には渡しません。対応表は漏れないよう安全に管理する義務があります。
マイナンバー法とマイナンバー制度
マイナンバー法（行政手続における特定の個人を識別するための番号の利用等に関する法律）は、個人番号（マイナンバー）を使って、行政機関などが同じ人の情報を正確に結び付け、手続を効率よく、公正にするための法律です。国民にとっては、申請や届出の手続が簡単になり、本人確認の手段が得られる、という利点もあります。
番号は選べず、原則として一生変わらず、使い道は法律で決まっています。
マイナンバーの決まり
付けられる人 … 住民票がある人に、住民票コードを変換して作った12桁の番号を、市町村長が指定して通知する。日本国籍に限らず、住民票がある外国籍の人にも付く
選べない・変えられない … 番号は自分で選べない。変更できるのは、番号が漏えいして不正に使われるおそれがあると認められたときだけ（本人の請求か市町村長の判断）
使い道 … 社会保障・税・災害対策などの分野で、法律や条例が定めた事務だけ
集める・渡す … 法律が認める場合のほかは、他人にマイナンバーを求めることも、集めたり保管したりすることも、人に渡すことも禁止
会社が従業員のマイナンバーを集めるのは、源泉徴収票や社会保険の届出など、法律が定めた書類に書くためです。集めたマイナンバーを従業員番号や顧客の管理番号に使うことはできません。マイナンバーを含む個人情報（特定個人情報）は、ふつうの個人情報より厳しく扱いが制限されています。
マイナンバー制度は、この番号を軸にした仕組み全体を指します。申請すると、顔写真とICチップの付いたマイナンバーカード（個人番号カード）が交付され、本人確認に使えます。行政機関どうしは情報提供ネットワークシステムで、同じ人の情報を正確にやり取りできるようになっています。
GDPRと忘れられる権利
GDPR（一般データ保護規則）は、EUが定めた個人データ保護のルールで、2018年5月25日から適用されています。日本の会社にも関係するのは、EUの外の事業者にも適用される場合があるからです。
決め手は「EU域内に拠点があるか」と「EU域内の人に提供しているか」の2つです。
GDPRが適用される場合
EU域内に拠点がある事業者 … その拠点の活動に伴う個人データの取扱いに適用。取扱いの場所がEUの外でも、相手がEUの外の人でも適用される
EU域内に拠点がない事業者 … EU域内の人に商品やサービスを提供する（有料か無料かを問わない）場合や、EU域内の人の行動を監視する場合に適用。EUの外の人だけを相手にしているなら適用されない
つまり、日本にしか拠点が無い会社でも、EU域内の人に向けて通信販売をしていれば対象になります。決め手は「EU域内に拠点があるか」と「EU域内の人を相手にしているか」の2つです。違反には重い制裁金があり、上限は2,000万ユーロか、企業の場合は前の会計年度の世界全体の売上高の4%の、高いほうです。個人データをEUの外へ移すことも、決まった条件を満たす場合にだけ認められます。
GDPRが本人に与える権利の1つが消去権で、忘れられる権利とも呼ばれます。集めた目的にとって不要になった、本人が同意を撤回した、違法に扱われた、といった場合に、本人は自分の個人データを遅滞なく消すよう求めることができ、事業者は消す義務を負います。そのデータを公開していた事業者は、ほかの事業者に対し、本人がリンクやコピーの消去を求めていることを伝える手立ても講じます。
日本の個人情報保護法にも、保有個人データの利用停止や消去を求める権利があります。ただし、違法な取扱いがあった場合や、事業者が使う必要がなくなった場合など、法律が定めた場合に限られます。
まとめ
この回で持ち帰ること
1. 個人情報＝生存する個人を識別できる情報（容易に照合できるものを含む）か、個人識別符号（身体の特徴のデータ、旅券・免許証・マイナンバーなどの番号）を含む情報。法人そのものの情報は対象外
2. 個人情報 ⊃ 個人データ（データベース等を構成）⊃ 保有個人データ（開示・訂正・利用停止などの権限がある）。本人の開示請求の相手は保有個人データ
3. 要配慮個人情報＝人種・信条・社会的身分・病歴・犯罪の経歴・犯罪の被害など。国籍・学歴・資産額は含まない。取得には原則本人の同意
4. 仮名加工情報＝照合しない限り本人が分からない。社内の分析用で第三者提供は原則禁止。匿名加工情報＝復元できない。項目を公表すれば本人の同意なく第三者に提供できる
5. マイナンバー＝住民票がある人に付く12桁の番号。選べず、変更は不正利用のおそれがあるときだけ。使い道は社会保障・税・災害対策などの法定の事務に限る
6. GDPR＝EU域内に拠点がある事業者と、拠点がなくてもEU域内の人を相手にする事業者に適用。忘れられる権利（消去権）を定める
この節で解ける公開問題
令和4〜8年度の公開問題のうち、この節の知識で解ける問題は次の4問です。
個人情報保護法
マイナンバー法
GDPR
教科書の一覧（現行の試験の順）教科書の一覧（新しい試験の順）過去問
Udemy の ITパスポート講座を、受講者数・★評価・口コミで比べたページです（広告を含みます）。
出典：IPA「ITパスポート試験 シラバス（案）Ver0.1」（2026年8月31日）、「ITパスポート試験 シラバス Ver6.5」、 「個人情報の保護に関する法律」「同 施行令」「行政手続における特定の個人を識別するための番号の利用等に関する法律」「同 施行令」（e-Gov 法令検索）、 個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」「同（仮名加工情報・匿名加工情報編）」、 個人情報保護委員会「一般データ保護規則（GDPR）の条文」（仮日本語訳）。 練習問題は当サイトが説明のために作ったものです。