はじめに
個人データと個人情報の違いは、個人情報のうち、検索できるように整理されたデータベース等に入っているものが個人データという関係です。さらに、そのうち開示や削除などを自社の判断でできるものが保有個人データになります。
私は個人情報保護士の試験勉強で、この区分を何度も取り違えました。
本記事では条文の定義を確認したうえで、顧客テーブルや CSV、行動ログといった身近なデータに当てはめて整理します。
本記事のまとめ
- 包含関係は「個人情報 ⊃ 個人データ ⊃ 保有個人データ」。個人データになっても個人情報でなくなるわけではない。
- 判定は「生存する個人か → 特定の個人を識別できるか（個人識別符号を含む）→ 検索できる集合物に入っているか → 開示等の権限があるか」の順に確かめる。
- データベースから CSV に書き出しても、紙に印刷しても個人データのまま。
- 誰のものか分からない Cookie ID の閲覧履歴は、多くの場合「個人関連情報」。ただし手元の会員データと簡単に照合できれば個人情報になる。
個人情報・個人データ・保有個人データの違い
3つの用語は別々のものではなく、個人情報に条件が1つずつ加わって、個人データ、保有個人データと範囲が狭くなる関係です。定義は個人情報の保護に関する法律（e-Gov法令検索）で確認しました。
| 用語 | 条文 | ひとことで言うと |
| 個人情報 | 2条1項 | 生存する個人に関する情報で、特定の個人を識別できるもの（他の情報と容易に照合して識別できるものを含む）、または個人識別符号を含むもの |
| 個人データ | 16条3項 | 個人情報データベース等を構成する個人情報 |
| 保有個人データ | 16条4項 | 個人データのうち、事業者が開示・訂正・利用停止・消去・第三者提供の停止などを行う権限を持つもの（政令で除外されるものを除く） |
「個人識別符号」は、マイナンバーや旅券番号、顔認証データのように、それだけで特定の個人を識別できると政令で定められた符号です。
「個人情報データベース等」とは、特定の個人情報をコンピュータで検索できるよう体系的に構成したものです（16条1項）。紙でも、索引を付けて容易に探し出せるよう整理していれば含まれます。
4つの質問で順番に判定する
手元のデータがどれに当たるかは、次の4つの質問に上から順に答えると判定できます。試験勉強では、この順番を決めてから迷いが減りました。
| 順番 | 質問 | 「はい」なら |
| 1 | 生存する個人に関する情報か | 次へ（「いいえ」なら死者の情報や統計情報で、対象外） |
| 2 | 特定の個人を識別できるか。手元の他の情報と容易に照合して識別できる場合と、個人識別符号を含む場合も入る | 個人情報 |
| 3 | 検索できるように整理された集合物（データベース等）に入っているか | 個人データ |
| 4 | 自社の判断で開示・訂正・削除などに応じられるか | 保有個人データ |
2つ目の質問は、情報を持っている事業者を基準に判断します。同じデータでも、照合できる別のデータを持っている会社にとっては個人情報になり、持っていない会社にとってはならないことがあります。
顧客データの具体例で判定する
試験勉強で作った事例表を、よく扱う顧客データに置き換えました。形式を変えただけなら区分は変わらず、「誰が持っていて、何ができるか」で変わります。次の表は一般的な例で、実際の判断は個別の事情によります。
| データの状態 | 区分 | 理由 |
| 取り込み前の申込書（未整理のまま置かれている紙） | 個人情報 | 本人を識別できるが、まだ検索できる形に整理されていない |
| 顧客 ID や氏名で検索できる顧客マスタのテーブル | 個人データ | コンピュータで検索できるように構成された集合物に入っている |
| 自社が開示・削除などに応じられる顧客マスタ | 保有個人データ | 自社に開示等の権限がある |
| 顧客マスタから書き出した CSV、印刷した帳票 | 個人データのまま | データベース等から取り出した個人情報も個人データ（ガイドライン通則編の事例） |
| 委託を受けて預かっている他社の顧客データ | 個人データ。保有個人データは原則として委託元 | 特に定めがなければ、開示等の権限は委託元にある（Q&A 1-56） |
| 「30代の購入率」のように個人との対応関係をなくした集計値 | 対象外（統計情報） | 特定の個人との対応関係がない |
CSV と帳票の扱いは個人情報保護法ガイドライン（通則編）の「個人データ」の事例、委託の扱いは個人情報保護委員会の Q&A 1-56で確認しました。
個人関連情報との違い（Cookie ID の閲覧履歴）
個人関連情報は、生存する個人に関する情報のうち、個人情報・仮名加工情報・匿名加工情報のどれにも当たらない残りです（2条7項）。中身を直接定めるのではなく、ほかの3つを除いた残りとして決まります。仮名加工情報と匿名加工情報は、どちらも個人情報を加工したもので、次の節で説明します。
ガイドライン通則編では、Cookie などの端末識別子を通じて集めた閲覧履歴、個人の商品購買履歴や位置情報などが例に挙がっています。たとえば、氏名と結び付いていない Cookie ID ごとの行動ログが典型です。
手元の会員データと照合できれば個人情報になる
同じ行動ログでも、自社の会員データと Cookie ID で簡単に突き合わせられる状態なら、2つ目の質問で「識別できる」に当たり、個人情報になります。「氏名の列がないから個人情報ではない」とは言えません。
個人関連情報を他社に渡すときの確認義務（31条）は、別の記事「委託と第三者提供の違い」で扱います。
仮名加工情報・匿名加工情報・統計情報との違い
分析用にデータを加工するときに混同しやすいのがこの3つです。氏名を消しても、仮名加工情報や匿名加工情報へ自動的に変わるわけではありません。
| 区分 | 条文 | 見分けるポイント |
| 仮名加工情報 | 2条5項 | 定められた措置を講じて、他の情報と照合しない限り特定の個人を識別できないように加工したもの |
| 匿名加工情報 | 2条6項 | 特定の個人を識別できず、元の個人情報を復元できないように加工したもの |
| 統計情報 | — | 個人との対応関係をなくした集計値。通常は個人に関する情報にも当たらない |
たとえば会員番号をランダムな ID に置き換え、対応表を別に保管したデータは、対応表を持つ会社にとっては照合すれば識別できます。仮名加工情報として扱うには、法律で定められた加工の基準を満たす必要があります。
試験勉強で間違えやすかったところ
私が勉強中に取り違えたのは、どれも定義の一語の違いでした。実務で判断するときも、つまずきやすいのは同じところです。
- 「身体、財産、職種などの属性に関する全ての情報」は個人に関する情報の説明で、個人情報の定義ではない。個人情報には「生存する」と「識別できる」の条件が加わる。
- 個人関連情報から除かれるのは、個人情報・仮名加工情報・匿名加工情報の3つすべて。死者の情報は含まれない。
- 氏名が含まれていても、特定の個人で検索できるように整理していなければ、個人情報データベース等には当たらない。
まとめ
個人データと個人情報の違いは、検索できるデータベース等に入っているかどうかです。保有個人データは、そのうち自社に開示等の権限があるものを指します。
- 判定は「生存・識別・検索・権限」の4つの質問を順に確かめる。
- CSV に書き出しても、氏名の列を消しても、それだけで区分が変わることはない。照合できる情報を持っているかで判断する。
- 手元のデータの区分を一度表にしておくと、他社へ渡すときや開示請求を受けたときの判断が早くなる。
本記事は試験勉強で整理した内容を、条文とガイドラインで確認してまとめたものです。内容は2026年9月時点の現行法にもとづきます。2026年7月17日に改正法が公布されましたが、本体は未施行です。
本記事が引用した定義の条項番号は、改正後も変わりません。法的な助言ではありません。実際の判断は、個人情報保護委員会の資料や社内の法務担当に確認してください。
