[経営実務] 特性からみた個人情報の分類

4月に施行された個人情報保護法の影響から、個人情報保護に関するお問合せをたくさん頂いています。お客様の多くは「どこまでが個人情報になるんだろう？」「どこまで対策を打てばいいんだろう？」という漠然とした不安を抱えています。

そもそも「情報」とは、「それを知ることによってある人が一つの判断を下すことができる手がかりとなる」ものです。判断ができるようになれば、（その人にとって）的確な行動を起こすことができるようになります。

この「判断・行動」の観点から見ると、個人情報には、大きく以下の3種類に分類されます。

(1)個人を識別（特定）可能とする情報
　－氏名や生年月日、カード番号、ＩＤ番号など
(2)個人に対してアクセス可能とする情報
　 －住所、電話番号、ＦＡＸ番号、メールアドレスなど
(3)個人の性質や思考、行動などを推測可能とする情報
　 －家族構成や過去の購買履歴やＰＯＳデータなど（様々）

法律で求められる「保護すべき個人情報」は、上記の(1)の情報が含まれています。また、一つの情報項目が(1)～(3)の複数の性質を持つことがあります（例えば、生年月日は(1)にもなりますし、そこから年齢を類推すれば(3)にもなります。）

このうち(1)と(2)の情報がセットが漏れてしまうと、その漏れた情報をもとＤＭやメール等を送りつけられてしまう可能性があります。また、(1)と(3)の情報がセットで漏れてしまうと、別に入手した(1)と(2)の情報とマッチさせることで、ターゲットの絞込みを掛けられてしまうことになります。

個人情報を保護するためには、まず、社内にある個人情報が上記の(1)～(3)のどれに当るのかを見極めて、どのような対策を施すかを考えることが必要です。