Authense
Professional Insight

要配慮個人情報とは

はじめに、要配慮個人情報の定義を解説します。

要配慮個人情報の定義

要配慮個人情報は、「個人情報の保護に関する法律（以下「個人情報保護法」といいます）」の2条3項で、次のように定義されています。

この法律において「要配慮個人情報」とは、本人の人種、信条、社会的身分、病歴、犯罪の経歴、犯罪により害を被った事実その他本人に対する不当な差別、偏見その他の不利益が生じないようにその取扱いに特に配慮を要するものとして政令で定める記述等が含まれる個人情報をいう。

これを受けて、政令（個人情報保護法施行令）の5条では要配慮個人情報に該当するものとして次のものが挙げられています。

1. 身体障害、知的障害、精神障害（発達障害を含む）その他の個人情報保護委員会規則で定める心身の機能の障害があること
2. 健康診断等の結果
3. 健康診断等の結果や疾病、負傷その他の心身の変化を理由として、本人に対して医師等により心身の状態の改善のための指導、診療、調剤が行われたこと
4. 本人を被疑者又は被告人として、逮捕、捜索、差押え、勾留、公訴の提起その他の刑事事件に関する手続が行われたこと
5. 本人を少年法に規定する少年又はその疑いのある者として、調査、観護の措置、審判、保護処分その他の少年の保護事件に関する手続が行われたこと

まずは、この法令上の定義を理解しておきましょう。

要配慮個人情報の規制が設けられた背景

要配慮個人情報の規制が設けられた背景には、個人情報の取り扱い基準が特に厳しいEU（欧州連合）との足並みをそろえる必要性が挙げられます。
EUによる個人情報保護規制（GDPR）と同じく、センシティブな個人情報の取り扱いに関する規制を設けることで、海外との取引が円滑となるためです。

また、個人情報保護法は個人情報を保護することのみを目的とした法律ではなく、「個人情報の有用性に配慮しつつ、個人の権利利益を保護することを目的」とするものです（個人情報保護法1条）。
そのため、すべての個人情報を一律に厳しく保護するのではなく、要配慮個人情報についてのみ一段厳しい措置を設ける形となっています。

要配慮個人情報に該当するものの具体例

ある情報が要配慮個人情報に該当するかどうか、迷う場合も多いかと思います。
ここでは、個人情報の保護に関する法律についてのガイドラインを参考に、要配慮個人情報に該当するものの具体例を紹介します。

人種

要配慮個人情報に該当する「人種」とは、人種や世系、民族的もしくは種族的出身を広く意味するとされています。
なお、単純な国籍や「外国人」という情報は法的地位であり、それだけでは人種には含みません。
また、肌の色は人種を推知させる情報にすぎず、要配慮個人情報に該当する人種には含まないとされています。

信条

要配慮個人情報に該当する「信条」とは、個人の基本的なものの見方や考え方を意味し、思想と信仰の双方を含むものとされています。

なお、「〇〇教に関する本を購入した」という情報や、特定の政党が発行する新聞や機関誌等を購読しているという情報は、これのみでは要配慮個人情報には該当しません。
なぜなら、それが個人的な信条であるのか単に情報の収集や教養を目的としたものであるのか、判断することが困難であるためです。

社会的身分

要配慮個人情報に該当する「社会的身分」とは、ある個人にその境遇として固着しており、一生の間自らの力によって容易にそれから脱し得ないような地位を意味します。
単なる職業的地位や学歴は、これに該当しません。

病歴

要配慮個人情報に該当する「病歴」とは、病気に罹患した経歴を意味するものです。
たとえば、特定の個人ががんに罹患している、統合失調症を患っている等の情報がこれに該当します。

犯罪の経歴

要配慮個人情報に該当する「犯罪の経歴」とは、前科（有罪の判決を受けこれが確定した事実）を指します。

なお、防犯カメラに犯罪行為が疑われる映像が映ったのみでは犯罪の経歴等にあたらないため、この映像は要配慮個人情報に該当しないとされています。

犯罪により害を被った事実

要配慮個人情報に該当する「犯罪により害を被った事実」とは、身体的被害、精神的被害、金銭的被害の別を問わず、犯罪の被害を受けた事実を広く意味します。

身体障害、知的障害、精神障害など心身の機能の障害があること

ここからは、政令により要配慮個人情報に該当するとされているものに関して解説します。
「身体障害、知的障害、精神障害など心身の機能の障害があること」には、たとえば次のものなどが該当します。

• 障害があることや過去にあったことを特定させる情報
• 医師などからこれらの障害があることを診断または判定されたこと
• 身体障害者手帳や療育手帳、精神障害者保健福祉手帳の交付を受け所持していること（または過去に所持していたこと）
• 本人の外見上明らかに一定の身体上の障害があること

健康診断等の結果

「健康診断等の結果」には、疾病の予防や早期発見を目的として行われた健康診査、健康診断、特定健康診査、健康測定、ストレスチェック、遺伝子検査等、受診者本人の健康状態が判明する検査の結果が該当します。

ただし、健康診断や診療等の業務とは関係ない方法により知った身長や体重、血圧、脈拍、体温等の情報は、要配慮個人情報に該当しません。

健康診断等の結果に基づく指導、診療、調剤

「健康診断等の結果に基づく指導、診療、調剤」には、次のものなどが該当します。

• 健康診断等の結果、特に健康の保持に努める必要がある者に対し、医師や保健師が行う保健指導等の内容
• 病院や診療所など医療を提供する施設において、診療の過程で患者の身体の状況、病状、治療状況等について、医師、看護師などの医療従事者が知り得た情報すべて
• 病院等を受診したという事実
• 調剤録、薬剤服用歴、お薬手帳に記載された情報等
• 薬局等で調剤を受けたという事実

本人を被疑者又は被告人として、逮捕等が行われたこと

「本人を被疑者又は被告人として、逮捕等が行われたこと」には、本人を被疑者または被告人として刑事事件に関する手続が行われたという事実が該当します。
また、無罪判決を受けた事実や不起訴処分となった事実も、要配慮個人情報に該当します。

一方で、他人を被疑者とする犯罪捜査のために取り調べを受けた事実や証人として尋問を受けた事実に関する情報は本人を被疑者や被告人としていないことから、これには該当しません。

本人を少年法に規定する少年等として保護処分等が行われたこと

「本人を少年法に規定する少年等として保護処分等が行われたこと」には、本人を非行少年またはその疑いのある者として、保護処分等の少年の保護事件に関する手続が行われたという事実が該当します。

要配慮個人情報に該当する場合の特別な規制内容

要配慮個人情報に該当する情報を取り扱う際は、特別な配慮が必要となります。
要配慮個人情報に関する特別な規制は次のとおりです。

• 取得時に本人の同意が必要となる
• オプトアウト方式による第三者提供が禁止される

取得時に本人の同意が必要となる

要配慮個人情報以外の個人情報は「偽りその他不正の手段」による取得が禁じられているものの、取得にあたって本人の同意まで必要とされていません（同20条1項）。

一方、要配慮個人情報を取得する際は、原則としてあらかじめ本人の同意を得ることが必要です（同2項）。
ただし、次の場合は例外的に事前の同意なく要配慮個人情報を取得することが認められています（同2項、個人情報保護法施行令9条）。

1. 法令に基づく場合
2. 人の生命、身体、財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき
3. 公衆衛生の向上や児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき
4. 国の機関、地方公共団体、その委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき。
5. 個人情報取扱事業者が学術研究機関等である場合及び学術研究機関等から要配慮個人情報を取得する場合で、学術研究機関上の必要があるとき（個人の権利利益を不当に侵害するおそれがある場合を除く）
6. その要配慮個人情報が、本人、国の機関、地方公共団体、学術研究機関等などにより公開されている場合
7. 本人を目視しまたは撮影することにより、その外形上明らかな要配慮個人情報を取得する場合
8. 個人データ取扱いの委託や法人の合併、事業承継等によって、個人データである要配慮個人情報の提供を受けるとき

オプトアウト方式による第三者提供が禁止される

通常の個人情報は、「オプトアウト方式」によって第三者提供をすることが可能です。

オプトアウト方式とは、本人から提供停止の申し出があった際に提供を停止することや、一定の事項を本人の知り得る状態に置いたり個人情報保護委員会に届け出たりすることを条件に、あらかじめ本人の同意を得ることなく個人情報を第三者に提供することを指します（同27条2項）。

一方、要配慮個人情報はオプトアウト方式による第三者提供はできません（同27条2項但書）。
そのため、要配慮個人情報を第三者に提供する際には、原則どおりあらかじめ本人の同意を得ることが必要です。

要配慮個人情報に関するその他の留意点

要配慮個人情報に関するその他の情報と留意点は次のとおりです。

• 十分な判断能力がない人に関する要配慮個人情報の取得は法定代理人からの同意が必要
• 要配慮個人情報から匿名加工情報を作成することは可能

十分な判断能力がない人に関する要配慮個人情報の取得は法定代理人からの同意が必要

要配慮個人情報の対象である本人が障害などによって十分な判断能力がない場合、本人から有効な同意を得ることが困難です。
この場合、その者の法定代理人である成年後見人等から同意を得る必要があります。

また、障害福祉サービス提供などのために必要な範囲で要配慮個人情報の提供を受けるときなどは、たとえ成年後見人などの法定代理人が選任されていなくても、本人の親族等からの同意によって要配慮個人情報を取得することができると考えられます。

なぜなら、このようなケースは例外的に本人の同意が不要となる「人の生命、身体、財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき」に該当すると解されるためです。

要配慮個人情報から匿名加工情報を作成することは可能

匿名加工情報とは、一定の措置を講じて特定の個人を識別することができないように個人情報を加工して得られる個人に関する情報のうち、その個人情報を復元することができないようにしたものを指します（同2条6項）。

要配慮個人情報であるからといって、匿名加工情報への加工が認められないわけではありません。
センシティブな情報である要配慮個人情報は取り扱いに十分注意が必要であるものの、必要以上に萎縮しすぎる必要はないでしょう。

要配慮個人情報の取り扱いに違反した場合の罰則等

要配慮個人情報の取り扱いに違反した場合は、次の罰則等の対象となる可能性があります。

• 個人情報保護委員会による指導・助言
• 個人情報保護委員会からの勧告・命令
• 個人情報保護法上の罰則の適用
• 民事上の損害賠償請求

個人情報保護委員会による指導・助言

要配慮個人情報の取り扱いに関する規定に違反した場合、個人情報保護委員会による指導や助言の対象となる可能性があります（同147条）。

個人情報保護委員会からの勧告・命令

要配慮個人情報の取り扱いに関する規定に違反した場合、個人情報保護委員会による違反行為の中止や是正の勧告や命令がなされる可能性があります（同148条1項から3項）。
また、命令に従わない場合はその旨が公表される可能性があります（同4項）。

個人情報保護法上の罰則の適用

個人情報保護委員会の命令に違反した場合、1年以下の懲役または100万円以下の罰金の対象となります（同178条）。
また、これとは別途法人に対して1億円以下の罰金刑が課される可能性があります（同184条1項1号）

民事上の損害賠償請求

要配慮個人情報の取り扱いに違反した結果、情報が漏洩したり本人に対して不利益が生じたりした場合、損害賠償請求の対象となります。
一般的に、通常の個人情報の漏洩と比較して、要配慮個人情報の漏洩は損害賠償請求額が高額となる傾向にあるでしょう。

まとめ

要配慮個人情報とは、特別な配慮が必要となるセンシティブな個人情報です。
自社が取り扱う個人情報に要配慮個人情報が含まれているかどうかを改めて確認してうえで、要配慮個人情報に該当する情報については適切な措置を講じてください。

また、これまで漫然と要配慮個人情報を取得していた場合は、必要のない要配慮個人情報を取得しないこととするのもひとつの手です。
要配慮個人情報であるかどうか判断に迷う場合は、個人情報保護委員会や弁護士に個別で確認するようにしてください。