個人情報保護法は何を規律する？理解する3つの軸
個人情報保護法の話は、3つの軸で整理できます。
- 個人情報の定義: 特定の個人を識別できる情報、要配慮個人情報は別取扱
- 3つの事業者義務: 利用目的特定（17条）・第三者提供制限（27条）・安全管理措置（23条）
- 本人の権利: 開示・訂正・利用停止請求権（33条以下）
ここがポイント。個人情報保護法は『事業者と本人の情報の取扱いバランスを設計する基盤法』ということ。事業者は適正な利用と保護を、本人は自己情報のコントロール権を、それぞれ法的に保障されています。
それから、2022年改正で大幅強化された分野という事実。漏えい時の報告義務化、罰則強化、外国の第三者への提供規制などが導入され、グローバルな個人情報保護の標準にも対応しました。
なぜそう言えるのか、3つの軸を順番に見ていきます。
何が『個人情報』にあたる？——定義と類型（2条以下）
個人情報の定義（2条1項）
個人情報保護法2条1項は、個人情報 を 「生存する個人に関する情報で、特定の個人を識別できるもの」 と定義しています。
個人情報の典型例
要配慮個人情報（2条3項）
特に慎重な取扱いが必要な情報は 要配慮個人情報 として別ルール（2条3項、20条2項）。
- 人種・信条・社会的身分
- 病歴・診療情報・健康診断結果
- 犯罪歴・犯罪被害情報
- 障害者手帳の情報
- 本人同意なしの取得は原則禁止（20条2項）
個人データと保有個人データ
| 用語 | 内容 |
|---|---|
| 個人情報 | 特定個人を識別できる情報 |
| 個人データ | 個人情報データベース等を構成する個人情報 |
| 保有個人データ | 事業者が開示・訂正等の権限を持つ個人データ |
トリビア：個人情報保護法は2022年改正で漏えい時の個人情報保護委員会への報告義務化、罰則も強化
個人情報保護法は 2003年5月公布・2005年4月全面施行——情報化社会の進展に対応した日本の個人情報保護の中核法律として誕生。2017年改正 で個人情報保護委員会の設置、2022年4月施行の改正 で 漏えい等の報告義務化（26条）・仮名加工情報 の新設・外国にある第三者への提供 の規律強化・罰則強化（個人で1億円以下、法人で1億円以下）等が導入されました。EU の GDPR や米国 CCPA 等のグローバル個人情報保護標準への対応が進んでいます。
事業者にはどんな義務がある？——利用目的特定・第三者提供制限・安全管理
利用目的特定義務（17条）
個人情報を取得する際、事業者は 利用目的をできる限り特定 する義務を負います（17条1項）。
利用目的特定の主なポイント
第三者提供制限（27条）
個人データを 第三者に提供 する際、原則として 本人同意 が必要（27条1項）。
- 法令に基づく場合: 警察の捜査照会、税務調査等
- 生命・身体・財産の保護: 緊急時の医療情報共有等
- 公衆衛生・児童健全育成: 感染症対策、児童福祉
- 業務委託: 個人情報の取扱いを委託する場合（27条5項1号）
- 共同利用: あらかじめ通知・公表した範囲内（27条5項3号）
- オプトアウト: 本人の求めに応じて停止する仕組み（27条2項）
安全管理措置（23条）
事業者は 個人データの漏えい・滅失・毀損 を防ぐため、安全管理措置を講じる義務（23条）。
| 措置の種類 | 内容 |
|---|---|
| 組織的安全管理 | 責任者の設置・規程整備 |
| 人的安全管理 | 従業者教育・誓約書 |
| 物理的安全管理 | 入退室管理・施錠 |
| 技術的安全管理 | アクセス制御・暗号化・監視ログ |
私たちが取材した個人情報保護専門の弁護士の話では、「安全管理措置は『漏えいの予防』が中心、漏えい後の対応は別途報告義務——両方を制度として整備する必要がある」とのこと。
本人は何を請求できる？漏えい時は？——本人の権利と漏えい報告（33条以下・26条）
本人の3つの請求権（33条以下）
個人情報保護法は本人に 3つの主な請求権 を保障しています。
本人の3つの請求権
開示請求の手続
事業者は本人からの請求を受けたら、遅滞なく対応 する義務（33条2項）。手数料を徴収できる場合があり、書面開示・電磁的記録での開示 どちらも選択可（2022年改正で電磁的記録選択権が導入）。
漏えい時の報告義務（26条、2022年改正）
個人データの漏えい・滅失・毀損 が発生した際、事業者は2つの義務を負います（26条）。
- 個人情報保護委員会への報告: 速報（3〜5日以内）＋確報（30日以内）
- 本人への通知: 影響を受ける本人へ漏えい事実を通知
- 対象: 1,000人を超える漏えい・要配慮個人情報の漏えい・財産的被害発生・不正アクセスによる漏えい
- 2022年改正で義務化: 改正前は努力義務だったが法的義務に
違反時の罰則
| 違反態様 | 罰則 |
|---|---|
| 個人情報保護委員会の命令違反 | 1年以下の懲役または100万円以下の罰金 |
| 個人情報データベース等の不正提供 | 1年以下の懲役または50万円以下の罰金 |
| 法人の場合 | 1億円以下の罰金（2022年改正で大幅強化） |
実務家の視点から言えば、個人情報保護法は『事業者の3義務＋本人の3請求権＋漏えい時の報告義務』 という構造で、2022年改正で罰則と報告義務が大幅強化 された点が押さえどころです。
- 個人情報保護法の核心は 定義・3義務・3請求権 の3軸
- 2003年制定・2005年全面施行、2017年・2022年の大改正で大幅強化
- 個人情報: 特定個人を識別できる情報（氏名・住所・メール・個人識別符号等）
- 要配慮個人情報: 人種・信条・病歴・犯罪歴等、本人同意なしの取得原則禁止
- 個人データ・保有個人データの段階的概念（管理範囲が広がる）
- 事業者の3義務: 利用目的特定・第三者提供制限・安全管理措置
- 17条: 利用目的をできる限り特定、目的外利用は本人同意必要
- 27条: 第三者提供は原則本人同意、業務委託・共同利用・オプトアウト等の例外
- 23条: 安全管理措置——組織的・人的・物理的・技術的の4層
- 本人の3請求権: 開示（33条）・訂正（34条）・利用停止（35条）
- 開示請求は 電磁的記録での開示も選択可（2022年改正）
- 漏えい時の報告義務（26条、2022年改正）: 委員会報告速報3〜5日・確報30日
- 報告対象: 1,000人超・要配慮個人情報・財産的被害・不正アクセス
- 本人への通知義務 も同時に発生
- 罰則は 法人で最高1億円（2022年改正で大幅強化）
- EU の GDPR や米国 CCPA 等のグローバル標準にも対応中
理解度チェック
ここまでの内容、どれくらい身についたかチェックしてみよう。
個人情報保護法の事業者の3義務について、正しい説明はどれか。
- 事業者は個人情報の利用目的を一切特定する必要がない仕組みの扱い
- 第三者提供は事業者の任意の判断で常に自由に可能となる原則扱い
- 事業者は利用目的特定・第三者提供制限・安全管理の3義務を負う
- 安全管理措置は努力義務にすぎず法的義務ではない仕組みの扱い
解答は 3 である。
個人情報保護法は事業者に 3つの主要義務 を課す: ①利用目的特定義務（17条）——取得時に利用目的をできる限り特定し、本人へ通知・公表（21条）。目的外利用は本人同意必要。②第三者提供制限（27条）——個人データの第三者提供は原則本人同意、例外は法令・生命財産保護・業務委託・共同利用・オプトアウト等。③安全管理措置（23条）——組織的・人的・物理的・技術的の4層で個人データの漏えい・滅失・毀損を防ぐ。いずれも法的義務 で、違反には罰則あり（2022年改正で法人最高1億円）。
| 選択肢 | 判定 | 理由 |
|---|---|---|
| 1 | ✗ 誤り | 17条で特定義務 |
| 2 | ✗ 誤り | 27条で原則同意必要 |
| 3 | ✓ 正解 | 17・27・23条の正しい3義務 |
| 4 | ✗ 誤り | 23条は法的義務 |
利用目的・第三者提供・安全管理の3義務——これが事業者義務の核心なのである。
個人情報保護法の本人の請求権について、正しい説明はどれか。
- 本人は開示・訂正・利用停止請求の3つの主な請求権を持つ
- 本人は事業者の保有する情報を一切請求する権利を持たない扱い
- 本人の請求権は事業者の任意の判断で拒否可能となる仕組み扱い
- 本人の請求は紙の書面のみ可能で電磁的方法は認められない扱い
解答は 1 である。
個人情報保護法は本人に 3つの主な請求権 を保障: ①開示請求（33条）——自己の保有個人データの開示を事業者に求める権利、②訂正・追加・削除請求（34条）——内容が事実でない場合の訂正等、③利用停止・消去請求（35条）——違法取得・目的外利用等の場合の停止。さらに 第三者提供停止請求（35条3項）も。事業者は 遅滞なく対応する義務（33条2項）を負い、違法な拒否は許されない。2022年改正で電磁的記録での開示 が選択可能になり、PDF・CSV 等のデータ形式での受領が可能。手数料は実費相当の徴収可。
| 選択肢 | 判定 | 理由 |
|---|---|---|
| 1 | ✓ 正解 | 33-35条の正しい請求権 |
| 2 | ✗ 誤り | 請求権あり |
| 3 | ✗ 誤り | 法定義務 |
| 4 | ✗ 誤り | 電磁的記録可 |
開示・訂正・利用停止の3請求権——これが本人の権利の核心なのである。
2022年改正による漏えい時の報告義務について、正しい説明はどれか。
- 漏えい時の個人情報保護委員会への報告は努力義務にすぎない扱い
- 漏えい時は本人への通知のみで足り委員会報告は不要となる扱い
- 漏えい時の対応は事業者の自由判断で報告期限の制限はない扱い
- 1,000人超の漏えい等で速報3〜5日・確報30日以内の報告義務
解答は 4 である。
2022年改正の26条により、個人データの漏えい・滅失・毀損 が発生した際の対応が 法的義務 に。個人情報保護委員会への報告 は ①速報: 3〜5日以内（速報書） ②確報: 30日以内（詳細報告）。本人への通知義務 も同時に発生。報告対象は ①1,000人を超える漏えい ②要配慮個人情報の漏えい ③財産的被害が生じるおそれ ④不正アクセスによる漏えい のいずれか。改正前は努力義務だったが法的義務化され、違反時は 個人情報保護委員会の命令 → 命令違反で 1年以下の懲役または100万円以下の罰金、法人は 1億円以下 の罰金。
| 選択肢 | 判定 | 理由 |
|---|---|---|
| 1 | ✗ 誤り | 法的義務 |
| 2 | ✗ 誤り | 委員会報告も必要 |
| 3 | ✗ 誤り | 期限あり |
| 4 | ✓ 正解 | 26条の正しい義務 |
速報3〜5日・確報30日——これが報告義務の核心なのである。
おわりに
個人情報保護法は、知っているか知らないかで漏えいトラブルへの対応が大きく変わる典型例です。今日見た3つの基本——定義・3義務・3請求権——を覚えておけば、自分の情報が漏えいしたり不適切に利用されたりした時の対応軸が手に入ります。
自分の権利を知るというのは、誰かに任せきりにするのではなく、自分で判断できる材料を持つこと。法律はそのための道具です。
個人情報保護法は、行政法・民事法・企業実務が交錯する分野。個人情報保護委員会・消費生活センター（188）・弁護士・司法書士・適格消費者団体——相談先や活用のサポートは意外と多くあります。気になることがあれば、まず話を聞いてもらうところから始めるのがおすすめです。
法律の論点はパターン化しやすい分野。スキマ時間で1問ずつ感触を掴みたい方は、シカクエのアプリも選択肢のひとつです。
1日10分から、通勤の往復だけでも知識が積み上がります。シカクエアプリ
次に読むなら、こんな記事もどうぞ。
- 消費者契約法の不当条項 — 契約規制の参考
- 特定商取引法の7類型 — 消費者保護の参考
- 消費者契約法の取消事由 — 民事の救済制度
- 債権譲渡の対抗要件 — 同じ民事分野の参考
- 情報公開法の活用と請求手続 — 行政情報の開示