個人データの定義と、なぜ「個人を特定できるか」が基準になるのか
個人データとは、個人を識別できる、または識別につながる情報のことです。重要なのは、情報そのものが“名前付き”であるかだけでなく、第三者が合理的に使える手段で結び付けられるか、という観点です。たとえば、氏名のような直接的な情報だけでなく、特定の人に結び付く可能性がある識別子や行動・属性の組み合わせが該当し得ます。
簡単なモデル：入力（情報）→ 結び付け（識別）→ 判断（個人データか）
考え方を単純化すると、次の流れで判断に近づけます。
- その情報は何か（入力）
- それが他の情報と結び付くと、特定の人に到達しやすいか（結び付け）
- 結び付けのための手段が、現実的に使われ得るか（判断）
このモデルでは、「単体では特定できない」情報でも、他の手がかりと組み合わされると個人データになり得ます。逆に、組み合わせや照合が実質的に成立しないなら、個人データに当たらない（または当たりにくい）可能性があります。ここはケース差が出るため、最終判断は状況次第になります。
何が個人データになりやすいか：関連する要素
個人データになりやすい要素として、次のような観点が挙げられます。
- 直接識別子：氏名、住所、連絡先など、単独で人を特定しやすい情報
- オンライン上の識別子：端末・アカウントに結び付く識別の手がかり（単独の扱いはケースによります）
- 組み合わせ情報：複数のデータを合わせることで特定につながる可能性
- 文脈：利用目的や取得経路により、結び付けの現実性が変わる
一方で、単に“個人に関係しそう”という印象だけでは足りません。結び付けに現実味があるか、どの程度の手段が想定されるかが重要です。
匿名化・仮名化の考え方：制限と注意点
匿名化や仮名化は、個人データの扱いを考えるうえでよく出てきます。 ただし、匿名化でも再識別の可能性がゼロとは限らないため、状態の違いで結論が変わり得ます。 - 仮名化：識別子を取り換えても、元に戻せる仕組みや参照先があると、個人に結び付く可能性が残ります。