個人データとは？意味・保護・管理の基礎知識

個人データとは？定義と基本概念

インターネットの普及やデジタルサービスの拡大に伴い、個人データの取り扱いが重要な社会課題となっています。ブラジルの一般データ保護法（LGPD、法律第13.709/2018号）では、個人データを「直接的または間接的に特定された、または特定可能な自然人に関するあらゆる情報」と定義しています（第5条、第I項）。この定義は、名前や番号だけでなく、位置情報やオンライン識別子、身体的・遺伝的・精神的・経済的・文化的・社会的な特性を参照して個人を識別できる場合も含みます。つまり、単独では個人を特定できなくても、他の情報と組み合わせることで特定可能であれば、その情報も個人データとみなされます。この考え方は、データ保護の対象を広く捉え、プライバシーを守る上で重要な役割を果たしています。

ブラジル国内では、国家データ保護庁（ANPD）が個人データの保護に関するガイドラインを提供しており、公式サイトではよくある質問や実務上の指針が公開されています。例えば、ANPDのFAQでは、個人データの具体例や処理のルールが詳しく解説されており、企業や個人が法令を理解する助けとなっています。こちらからANPDの情報を参照できます（ANPD公式サイト）。このように、個人データの定義を正しく理解することは、データ保護の第一歩です。

個人データの具体例

個人データに該当する情報は多岐にわたります。日常生活でよく扱われる例を以下に示します。これらの情報は、単体でも組み合わせても個人を特定できる可能性があるため、適切な管理が必要です。

1. 氏名、CPF（ブラジルの個人納税者番号）、RG（身分証明書番号）
2. 電子メールアドレス、電話番号、住所
3. 生年月日、性別、国籍
4. IPアドレス、ブラウザのクッキー、デバイスID
5. クレジットカード番号、銀行口座情報
6. GPSによる位置情報、訪問履歴
7. 購買履歴、ウェブサイト閲覧履歴、検索履歴
8. 身体的特徴、顔写真、音声データ

これらの例は、Judex.ioのブログでも紹介されており、実際のビジネスシーンでどのようなデータが個人データとして扱われるかを理解するうえで参考になります。特に、IPアドレスやクッキーといった一見匿名に見える情報も、オンライン上での行動追跡を通じて個人の識別につながる可能性があるため、注意が必要です。

一般データとセンシティブデータの違い

個人データの中でも、特に慎重な取り扱いが求められるのが「センシティブデータ」です。LGPD第5条第II項では、人種・民族、宗教的信条、政治的意見、労働組合加盟、健康、性生活、遺伝子・生体認証に関する情報をセンシティブデータと定義しています。これらのデータは、差別や偏見のリスクが高いため、一般データよりも厳格な保護ルールが適用されます。以下の表は、一般データとセンシティブデータの主な違いをまとめたものです。

| 項目 | 一般データ | センシティブデータ |
|------|------------|-------------------|
| 例 | 氏名、電話番号、住所 | 人種、健康情報、生体認証 |
| 処理の制限 | 同意または正当な利益に基づく | 特別な同意が必要、または法律で明示された場合のみ |
| リスク | 個人特定、迷惑行為等 | 差別、偏見、社会的排除 |
| 影響評価 | 一般的な影響評価で対応可能 | データ保護影響評価（DPIA）が必須の場合が多い |

このように、センシティブデータは特に高い保護レベルが求められます。Idec（ブラジル消費者保護協会）の資料では、センシティブデータの定義や保護の重要性が詳述されており、事業者はこれらの情報を扱う際には、本人の明示的な同意を得ることや、処理目的を限定することが求められると説明されています。

データ処理とは何か

個人データに関する「処理」とは、LGPD第5条第X項により、収集、保存、利用、転送、削除など、データに対して行われるあらゆる操作を指します。具体的には、顧客リストの作成、メールマーケティングの配信、購買履歴の分析、クラウドへのデータ保存、第三者への提供などが該当します。処理の段階ごとに、適切なセキュリティ対策と本人の権利保障が求められます。

例えば、企業が顧客のメールアドレスを収集する場合、その目的を明確にし、同意を得ることが原則です。また、データを外部のサーバーに保管する際には、暗号化やアクセス制御を実施する義務があります。さらに、不要になったデータは適時に消去しなければなりません。このような処理のルールは、LGPDの原文で詳しく定められており、条文を確認することで法的な基準を正確に理解できます。LGPDの全文はこちらから確認できます（公式テキスト）。

個人データの保護と管理の基礎

個人データを適切に保護し管理するためには、いくつかの基本原則を押さえる必要があります。第一に、データ収集の目的を明確にし、必要最小限のデータのみを取得する「データ最小化」の原則です。第二に、データの正確性を保つため、定期的な更新と誤りの訂正が重要です。第三に、保存期間を定め、目的達成後は速やかにデータを削除する「保存制限」の原則があります。

具体的な管理手法としては、以下のような対策が推奨されます。まず、アクセス権限の設定と監査ログの記録により、不正なデータ利用を防止します。次に、個人データを暗号化して保存し、通信時にもSSL/TLSなどの暗号化プロトコルを使用します。さらに、データ保護影響評価（DPIA）を実施し、高リスクな処理については事前に影響を分析します。また、データ主体（本人）からの開示請求や削除請求に対応できる体制を整えることも不可欠です。これらの管理策を実践することで、法令遵守だけでなく、顧客やユーザーからの信頼獲得にもつながります。

加えて、従業員教育も重要な要素です。データ漏洩の多くは人的ミスや内部不正によるものであるため、定期的な研修を通じてプライバシー意識を高めることが必要です。ブラジルのANPDは、事業者向けのガイドブックや推奨事項を公開しており、これらを参考にしながら社内ポリシーを策定することが効果的です。