個人情報保護法入門 １

１．個人情報保護法の特徴

（１）広い「個人情報」概念
　各企業で「個人情報保護法」に対応しようとすると、非常に抽象的な規定が多すぎて、企業としては、“何を、どこまでやれば良いのか”というところが全く見えてこないとよく言われます。
　その原因を考えてみると、１つに、この個人情報保護法が第２条第１項において「個人情報」を、特定個人を識別できるものは全て個人情報とするという非常に広い定義を採用していることを指摘できると思います。そのために、氏名、住所、電話番号といった情報だけではなく、防犯カメラの影像情報やコールセンターの応答履歴などありとあらゆるものが個人情報になってしまうことになります。
　でも、個人情報と言われますと、一般のビジネスマンであれば、顧客情報とか名刺情報といったものを典型的な個人情報としてイメージするわけですが、一方、医療関係者はカルテ情報や遺伝子情報などを典型的な個人情報としてイメージするかもしれません。つまり、一口に個人情報といっても、名刺情報から遺伝子情報を含む非常に広い概念であるということに思い至らなければなりません。
　たとえば、名刺情報などをイメージして議論する人は、「この法律は過剰規制だ」と批判する、一方、カルテ情報や遺伝子情報を個人情報の典型と考える人は「この法律はザル法だ」と批判することになります。一つの法律に対して正反対の評価がなされるわけです。これは、この法律の基礎となる個人情報を、名刺情報から遺伝子情報までを包括するものとして定義し、しかも民間部門を包括的に規制する起草方針にたった時点から、当然予測されていたことということもできるでしょう。

（２）階層的なルール形成の仕組み
　そのためおそらく起草担当者は、この法律の中に階層的なルール形成の仕組みを取り入れようと考えたのではないかと思います。一番上位のレイヤは、立法機関である国会が作る、まさにこの「個人情報保護法」という「法律」です。ここでは、民間部門の一般法として、様々な個人情報の取扱いについて規制することになりますので、普通の法律以上に抽象度の高い表現で条文を書くしかないと思います。そのため、たとえば20条のように「適切な安全管理措置」を講ぜよ、と言った条文になるほかないわけです。事業者としては、「適切ってなんだろう？」と当惑するだけで、具体的な規範に直面しようがない。規範に直面しないということは、何をどこまでやれば適法なのか、どのラインを踏み越えたら違法なのかというルールに直面できないということです。
　したがって、起草担当者は、階層的なルール形成の仕組みを採用することで、ルールの具体化を図ろうと考えたのだろうと思うのです。国会で作った「法律」だけで完結するのではなく、一部を「施行令（政令）」においてより具体化したルールを示し、また、個人情報保護法の「基本方針」を内閣の閣議決定を経て告示し、国民、事業者に向けて広く情報提供し、さらには各主務大臣において「ガイドライン（告示）」を作り、その所掌範囲内でより詳細なルールを作ってもらうしくみを採用したということです。しかし、こうした仕組みは、基本方針があるという点を除けば、個人情報保護法特有のものではありません。税務行政をはじめ、行政法一般で行われているものです。
個人情報保護法の特徴としては、「認定個人情報保護団体」という制度を作り、その認定個人情報保護団体に「個人情報保護指針」を作成してもらおうと考えた。主務大臣のガイドラインよりさらに、その下に、いわば第５レイヤのルールを作ったというところにポイントがあります。
　たとえば、自分たちの業界はどの程度のセキュリティ対策を講じれば良いのか、といったような個別具体的な形に落としての規制は、その業界の業種特性に応じてルール形成を図るべきであろうと考えたのです。
このように、下位のルールに委ねるに従って、だんだんとその内容が具体化していく仕組みをビルトインしたというのがこの個人情報保護法の大きな特徴のひとつです。