【動画公開】要配慮個人情報と機微情報（センシティブ情報）の違い｜個人情報保護法

要配慮個人情報、機微情報（センシティブデータ）の違いは、個人情報保護実務において頻繁に誤解される論点である。要配慮個人情報は個人情報保護法上の法定概念であり、機微情報は文脈に応じて異なる意味で使用される概念である。特に金融分野では要配慮個人情報より広い機微情報規制が存在し、取得・利用・第三者提供に厳格な制約が課される。もっとも、機微情報には「金融分野における個人情報保護に関するガイドライン」上の機微情報以外にも、自治体での機微情報概念や、一般的意味合いでも機微情報概念があり、どの機微情報を指しているのかによって行為規制も変わってくる。要配慮個人情報という分類がありながらも、いまだに機微情報という概念が利用される背景は何かを含めて本記事で解説する。

動画解説

はじめに

企業や自治体における個人情報保護実務では、「要配慮個人情報」と「機微情報」を同じ意味で理解しているケースが少なくない。しかし、この理解は誤りである。

機微情報という用語は使用される場面によって意味が異なり、その違いを理解しないまま運用すると、同意取得、目的内利用規制、第三者提供規制などを誤るおそれがある。

結論：要配慮個人情報と機微情報は異なる概念である

要配慮個人情報は個人情報保護法で定義された法定概念である。

これに対し、機微情報は法律上定義された概念ではなく、実務上は、少なくとも次の3つの意味で使用されている。

• 金融分野における個人情報保護に関するガイドライン上の機微情報
• 一般的な意味でのセンシティブ情報
• 地方公共団体で独自に管理される機微情報

金融分野の機微情報規制とは

金融分野では機微情報が要配慮個人情報より広い

金融分野における個人情報保護に関するガイドラインでは、機微情報が独自に定義されている。

機微情報には要配慮個人情報が含まれるが、それだけではない。

以下の情報も機微情報に含まれる。

• 労働組合への加盟に関する情報
• 門地に関する情報
• 本籍地に関する情報
• 保健医療に関する情報
• 性生活に関する情報

このため、金融機関においては「要配慮個人情報かどうか」だけではなく、「機微情報に該当するかどうか」の判断が重要となる。

金融分野における個人情報保護に関するガイドライン
第５条　機微（センシティブ）情報

1. 金融分野における個人情報取扱事業者は、法第２条第３項に定める要配慮個人情報並びに労働組合への加盟、門地、本籍地、保健医療及び性生活（これらのうち要配慮個人情報に該当するものを除く。）に関する情報（本人、国の機関、地方公共団体、学術研究機関等、法第57条第１項各号に掲げる者若しくは施行規則第６条各号に掲げる者により公開されているもの、又は、本人を目視し、若しくは撮影することにより取得するその外形上明らかなものを除く。以下「機微（センシティブ）情報」という。）については、次に掲げる場合を除くほか、取得、利用又は第三者提供を行わないこととする。
   1. 　法令等に基づく場合
   2. 　人の生命、身体又は財産の保護のために必要がある場合
   3. 　公衆衛生の向上又は児童の健全な育成の推進のため特に必要がある場合
   4. 　国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合
   5. 　法第20条第２項第６号に掲げる場合に機微（センシティブ）情報を取得する場合、法第18条第３項第６号に掲げる場合に機微（センシティブ）情報を利用する場合、又は法第27条第１項第７号に掲げる場合に機微（センシティブ）情報を第三者提供する場合
      ※学術研究
   6. 　源泉徴収事務等の遂行上必要な範囲において、政治・宗教等の団体若しくは労働組合への所属若しくは加盟に関する従業員等の機微（センシティブ）情報を取得、利用又は第三者提供する場合
   7. 　相続手続による権利義務の移転等の遂行に必要な限りにおいて、機微（センシティブ）情報を取得、利用又は第三者提供する場合
   8. 　保険業その他金融分野の事業の適切な業務運営を確保する必要性から、本人の同意に基づき業務遂行上必要な範囲で機微（センシティブ）情報を取得、利用又は第三者提供する場合
   9. 　機微（センシティブ）情報に該当する生体認証情報を本人の同意に基づき、本人確認に用いる場合
2. 金融分野における個人情報取扱事業者は、機微（センシティブ）情報を、前項に掲げる場合に取得、利用又は第三者提供する場合には、同項に掲げる事由を逸脱した取得、利用又は第三者提供を行うことのないよう、特に慎重に取り扱うこととする。
3. 金融分野における個人情報取扱事業者は、機微（センシティブ）情報を、第１項に掲げる場合に取得、利用又は第三者提供する場合には、例えば、要配慮個人情報を取得するに当たっては、法第20条第２項に従い、あらかじめ本人の同意を得なければならないとされていることなど、個人情報の保護に関する法令等に従い適切に対応しなければならないことに留意する。
4. 金融分野における個人情報取扱事業者は、機微（センシティブ）情報を第三者へ提供するに当たっては、法第27条第２項（オプトアウト）の規定を適用しないこととする。なお、機微（センシティブ）情報のうち要配慮個人情報については、同項において、オプトアウトを用いることができないとされていることに留意する。

金融分野で最も重要なのは行為規制である

実務上より重要なのは、機微情報の範囲そのものではなく、機微情報に対する行為規制である。

金融分野では、機微情報の取得、利用、第三者提供が可能な場合についてガイドラインにより限定列挙方式が採用されている。

そのため、通常の個人情報や要配慮個人情報とは異なる観点での検討が必要となる。

一般的な意味での機微情報とは

実務担当者が機微情報という場合、法令やガイドライン上の定義ではなく、「本人にとって重要性が高い情報」を指していることがある。

例えば次のような情報である。

• 年収、所得額
• 金融資産額
• ３サイズ
• 位置情報

これらは通常、要配慮個人情報には該当しない。

しかし、本人から見れば秘匿性や保護への期待が高く、企業には慎重な取扱いが求められる。

自治体における機微情報の考え方

自治体では独自概念として残っている場合がある

自治体では、個人情報保護条例時代から機微情報規制を設けていた例が少なくない。

2021年改正により個人情報保護制度は全国的に統合されたが、自治体内部の運用ルールとして機微情報概念が残されている場合がある。

具体例

• 生活保護受給歴
• 税情報
• 戸籍情報
• その他自治体が機微性を認める情報

これらは必ずしも要配慮個人情報には該当しないが、自治体では特別な管理対象として運用されることがある。

要配慮個人情報との差異と実務対応

要配慮個人情報は個人情報保護法が明確に定義する法定概念である。

対象範囲は法律によって限定列挙されており、人によって定義が変わることはない。

しかしながら、その画一性ゆえか、または別の要因かによって、要配慮個人情報では、一般的に、保護の期待が高い情報類型をすべて網羅しきれていない。そのため、要配慮個人情報に含まれていないけれども、国際的にも保護の期待が高い情報類型や、個人から見て保護の期待が高い情報類型を機微情報として整理する運用がある。

機微情報と言われた場合には、まず法的な分類として要配慮個人情報の定義を確認しよう。次に、どの意味での機微情報を指しているのかを検討し、それに対する行為規制の有無を確認することが重要である。

動画解説

Q&A

Q1. 要配慮個人情報と機微情報は同じか。

同じではない。要配慮個人情報は法定概念であり、機微情報は文脈によって意味が異なる。

Q2. 金融分野ではどちらが重要か。

金融分野では機微情報規制の確認が極めて重要である。機微情報は要配慮個人情報より広く定義されている。

Q3. 年収や資産額は要配慮個人情報か。

通常は要配慮個人情報には該当しない。しかし、本人にとって高い機微性を有する情報として慎重な取扱いが求められる場合が多い。

Q4. 自治体の機微情報は法律で定義されているのか。

現在の個人情報保護法上で統一的に定義されているわけではない。旧個人情報保護条例等を踏まえ、自治体内部規程等で管理対象として運用されている場合がある。

まとめ

要配慮個人情報は個人情報保護法上の明確な法定概念である。一方、機微情報は金融分野、自治体実務、一般的なセンシティブ情報という複数の意味で使用される概念である。個人情報保護実務では、どの意味で機微情報という用語が使用されているかを確認したうえで、適切な法令解釈と内部統制を行う必要がある。