個人情報データベース等

特定の個人情報をコンピュータで検索できるように体系的に構成した、個人情報を含む情報の集合物。紙の名簿でも五十音順など一定の規則で整理し、目次や索引で容易に検索できるものは含まれる。これを事業に用いる者が個人情報取扱事業者となる。

個人情報保護法で定める、個人情報を含む情報の集合物で、特定の個人情報をコンピュータで検索できるように体系的に構成したもの。紙の名簿やカルテでも、五十音順に並べて索引を付けるなど、容易に検索できるように整理したものは含まれる。個人情報データベース等を事業に使う者が個人情報取扱事業者となり、それを構成する個人情報を個人データと呼ぶ。

個人情報保護法で、生存する個人に関する情報のうち、氏名や生年月日などにより特定の個人を識別できるもの（他の情報と容易に照合して識別できるものを含む）、または個人識別符号が含まれるもの。死者の情報や、個人と結び付かない統計情報は含まれない。個人情報データベース等を構成すると個人データとなり、事業者が負う義務が増える。

個人データのうち、個人情報取扱事業者が、本人から求められた開示、内容の訂正・追加・削除、利用の停止・消去、第三者への提供の停止のすべてに応じる権限を持つもので、2022年施行の改正で6か月以内に消去するものも含まれるようになった。事業者は、利用目的や請求の手続などを本人が知り得る状態に置き、本人からの請求に応じる義務を負う。委託を受けて処理しているだけのデータは、委託元の保有個人データとなる。

個人情報取扱事業者が、取り扱う個人データの漏えい、滅失、毀損を防ぐために講じなければならない措置。ガイドラインでは、基本方針の策定、取扱規程の整備、組織的・人的・物理的・技術的安全管理措置、外国で取り扱う場合の外的環境の把握が示されている。データ基盤では、アクセス制御、暗号化、操作ログの取得と監視などで具体化する。

個人情報取扱事業者が、保有する個人データを本人と自社以外の者に渡すこと。原則として本人の同意が必要で、法令に基づく場合などの例外のほか、個人情報保護委員会に届け出たうえでのオプトアウトによる提供が認められている。委託、事業の承継、共同利用に伴う提供は第三者提供にあたらない。

個人情報の有用性に配慮しつつ、個人の権利利益を保護するための法律。個人情報取扱事業者に、利用目的の特定と通知、安全管理措置、第三者提供の制限、本人からの開示請求などへの対応を義務付け、個人情報保護委員会が監督する。2022年施行の改正で、漏えい等が発生した場合の委員会への報告と本人への通知が義務となり、仮名加工情報が創設され、行政機関などの公的部門も同じ法律に統合された。

EUの個人データ保護に関する規則で、2018年5月に適用が始まった。EU域内の個人のデータを扱う事業者は、EU域外の事業者であっても対象となる（域外適用）。忘れられる権利（消去権）やデータポータビリティの権利などの本人の権利、72時間以内の監督機関への漏えいの通知、十分な保護の水準が確保されていない国への個人データの移転の制限などを定め、違反には高額な制裁金が科される。