Pi－i

米国企業情報

Polaris Inds（NYSE:PII）

住所：	2100 Highway 55Medina, MN 55340United States
電話：	1- (763) 542-0500
FAX：	1- (763) 542-0599
ウェブサイト：	http://www.polarisindustries.com
業種：	耐久消費財
業界：	レジャー用品

» ダウ・ジョーンズ米国企業総合情報データベースはこちら

ウィキペディア

Pii

出典: フリー百科事典『ウィキペディア（Wikipedia）』 (2025/06/02 08:20 UTC 版)

Pii （ピィ）
出身地	日本
ジャンル	J-POP
活動期間	2021年 -
レーベル	cutting edge（2021年 - ）

Pii
YouTube
チャンネル	Pii
活動期間	2021年 -
ジャンル	音楽
登録者数	約4840人
総再生回数	約96.3万回
チャンネル登録者数・総再生回数は 2024年1月31日時点。

Pii（ピィ）は、日本の女性歌手。“シン・カヨウキョク”を提唱する謎の青髪の女の子という設定のAwesome City ClubのPORINのソロプロジェクトである。

2021年3月31日、ラジオで曲を公表し、同年4月1日から始動。当初は「先入観なく曲を聴いてもらいたかった」という思いからプロフィールや正体は明かさず、覆面で行っていた。

2022年11月10日に開催した初ライブでPORINであることを明かした。

来歴

• 2021年
  • 3月31日、J-WAVE『SONAR MUSIC』にて存在が公表。
  • 4月1日、「カキツバタ はじめましてver.」を公開。全国13局のラジオ局でパワープレイ、エンディングテーマに採用された。
  • 4月29日、「カキツバタ」を配信リリース。ミュージック・ビデオ公開。タイ出身の漫画家ウィスット・ポンニミットがMVを手がけ、アーティストロゴはMargtが担当。
  • 5月25日、小沢健二の配信ライブにて「カキツバタ」がカバーされた。

• 2022年
  • 4月29日、「ヒノキノキ」を配信リリース。ミュージックビデオ公開。作詞作曲は、MAISONdes「ラリー、ラリー feat. Pii, meiyo」で共演したmeiyoが担当。
  • 11月10日、代官山蔦屋書店でアコースティックライブを開催。自身の正体がAwesome City ClubのPORINであるということを正式に公表した。

作品

Digital Single

	発売日	タイトル	備考
1st	2021.4.29	カキツバタ	作詞・作曲・編曲:Yamanashi Ayumi & Sera Masumi
2nd	2022.4.29	ヒノキノキ	作詞・作曲:meiyo、編曲:片岡嗣実
3rd	2022.7.30	花明かり	作詞・作曲・編曲:案山子
4th	2023.4.26	パノラマ東京	作詞：Pii、作曲：林哲司、編曲：新東京
5th	2023.11.29	ササユリの花の薄化粧	作詞・作曲：PORIN, BIOMAN、編曲：BIOMAN
6th	2024年4月24日	お化けひまわり	作詞：PORIN、作曲・編曲：BIOMAN
7th	2025年4月23日	愛シフト制;	作詞・作曲・編曲：BIOMAN
8th	2025年5月16日	マヌケだね	作詞・作曲：坂本慎太郎 タイのロックバンド「SOFT PINE」 とのコラボ・カバーシングル。 オリジナルアーティストは坂本慎太郎。

Digital EP

	発売日	タイトル	収録曲
1st	2022.11.30	春が呼んでる	カキツバタ Baby Pink 作詞・作曲：Mega Shinnosuke、編曲：スナックひよこ・KOHD、プロデュース：スナックひよこ ヒノキノキ 花明かり 雲雀 作詞・作曲：崎山蒼志、編曲：Seiji Kokeguchi & Emil Sana、プロデュース：Seiji Kokeguchi

参加作品

発売日	タイトル	収録曲
2021年11月24日	MAISONdes『ラリー、ラリー (feat. Pii & meiyo)』
2023年10月6日	50th Anniversary Special A Tribute of Hayashi Tetsuji - Saudade -	September (original:竹内まりや)

タイアップ

曲名	タイアップ	年
お化けひまわり	ABCテレビ・テレビ朝日系列全国24局ネット ANiMAZiNG!!!『となりの妖怪さん』オープニングテーマ	2024年

映像

公開日	監督	曲名	備考
2021/04/01	Wisut Ponnimit (タムくん)	カキツバタ はじめましてver.
2021/04/29		カキツバタ
2021/11/25	Tatsuhiko Nakahara	「カキツバタ」畳 session
2022/01/01		「全部全部全部」畳 session	作詞作曲：164
2022/04/29	えいた	ヒノキノキ	イラスト : NOSTALOOK
2022/07/30	四ツ橋杏	花明かり	イラスト:TARU HANASAKI、ロゴデザイン：えいた
2022/11/11	室谷惠	Baby Pink
2022/11/30	domu	雲雀

ライブ

開催日	タイトル	備考
2022年12月8日	1st ワンマンライブ「Pii × iiiii 〜 庭に集う 〜」	渋谷WWW

外部リンク

• Pii〔ピィ〕
• Pii［ピィ］ (@ppiipiipp) - X（旧Twitter）
• Ｐii (@ppiipiipp) - Instagram（2020年11月11日 - ）
• Pii - YouTubeチャンネル（2021年4月21日 - ）

個人情報

出典: フリー百科事典『ウィキペディア（Wikipedia）』 (2025/07/03 08:12 UTC 版)

個人情報（こじんじょうほう）は、ある個人に関連するあらゆる情報のこと。英語では、personally identifiable information（PII）もしくはsensitive personal information（SPI）、より一般にはpersonal dataと呼ばれる。

定義

アメリカ国立標準技術研究所（NIST）が発行するコンピュータセキュリティ関連のガイドラインである SP800シリーズの一つ、SP800-122では、個人情報を以下のように定義している：

組織(agency)によって保全されている個人に関する任意の情報で、以下のものを含む
1. 個人の身元を識別したり追跡したりするのに使うことができる任意の情報。たとえば名前、社会保障番号、誕生日や誕生した場所、母親の旧姓、生体情報
2. 個人にリンクされているかリンクすることができる他の任意の情報。たとえば医療、教育、財政、および雇用に関する情報。 — NIST SP800-122

EU一般データ保護規則では以下のように定義している：

「個人データ」は、識別されたまたは識別可能な自然人（「データ主体」）に関するすべての情報を意味する。識別可能な自然人とは、特に、識別子（名前、識別番号、位置データ、オンライン識別子といったもの）を参照するか、または当該自然人の一意性（身体的、生理的、遺伝的、精神的、経済的、文化的、または社会的なもの）に固有な1つ以上の指標を参照することで、直接的または間接的に、識別ができる者をいう。 — GDPR Article 4 (1)

日本の個人情報保護法では以下のように定義している：

この法律において「個人情報」とは、生存する個人に関する情報であって、次の各号のいずれかに該当するものをいう。

一　当該情報に含まれる氏名、生年月日その他の記述等（文書、図画若しくは電磁的記録（電磁的方式（電子的方式、磁気的方式その他人の知覚によっては認識することができない方式をいう。次項第二号において同じ。）で作られる記録をいう。以下同じ。）に記載され、若しくは記録され、又は音声、動作その他の方法を用いて表された一切の事項（個人識別符号を除く。）をいう。以下同じ。）により特定の個人を識別することができるもの（他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなるものを含む。）

二　個人識別符号が含まれるもの — 個人情報保護法第2条

名前(氏名)・生年月日・年齢・性別・住所・電話番号・メールアドレス・SNS上の繋がり・学校名・銀行口座・クレジットカード番号など、「だれ」であるか特定される可能性のある情報が個人情報であるのではなく、そのような情報を含む情報全体が個人情報である。

日本産業規格の個人情報保護マネジメントシステムであるJIS Q 15001では、2006年版において、生存する個人に関するという制限がなく死者のデータも含まれるとしていたが、現行の2017年版では個人情報保護法と同一の定義としている。

上述したどの定義においても、単体で個人を識別できなくとも「その情報を取り扱う事業者」が他の情報と合わせれば「容易に」個人の識別が可能になる記述を含むものも個人情報である。

個人情報とプライバシーの保護

個人情報保護の法制化の動きは1980年にOECD理事会からプライバシー保護と個人データの国際流通についてのガイドラインに関するOECD理事会勧告（OECDプライバシーガイドライン）が発表されたことに始まる。OECDプライバシーガイドラインの、収集制限の原則、データ内容の原則、目的明確化の原則、利用制限の原則、安全保護の原則、公開の原則、個人参加の原則、責任の原則の8原則は多くの国の立法に取り入れられた。

プライバシー

プライバシーの意味として最もポピュラーな理論の一つは、ウェスティン（Alan Westin）が1967年の著書『プライバシーと自由』で述べた「自己に関する情報に対するコントロールという権利」というものである。日本の憲法学においてもこの考えをベースとした自己情報コントロール権がプライバシーの権利の最有力の解釈になっている。

日本のデータ保護法制

日本のデータ保護法制は、「個人情報の保護に関する法律」（以下「個人情報保護法」または「法」）を中核として構築されている。事業者が遵守すべき義務は、取り扱う情報の種類によって段階的に規定されており、その正確な理解はコンプライアンス活動の第一歩となる。この階層的な構造は、データが体系化され、管理されるにつれて増大するリスクに対応するための意図的な設計であり、事業者は自社が保有するデータ資産を法的なカテゴリに分類することからデータガバナンスを開始する必要がある。

個人情報保護法では、「個人情報」「個人データ」「保有個人データ」という3つの類似しつつも明確に区別された概念を定義している。これらの定義を理解することは、どの時点でどのような法的義務が発生するのかを把握する上で不可欠である。

「個人情報」

経済産業省の『個人情報の保護に関する法律についての経済産業分野を対象とするガイドライン』では、個人情報保護法における「個人に関する情報」を以下のように説明している。

「個人に関する情報」は、氏名、性別、生年月日等個人を識別する情報に限られず、個人の身体、財種、肩書等の属性に関して、事実、判断、評価を表すすべての情報であり、評価情報、公刊物等によって公にされている情報や、映像、音声による情報も含まれ、暗号化等によって秘匿化されているかどうかを問わない（中略）。 なお、死者に関する情報が、同時に、遺族等の生存する個人に関する情報でもある場合には、当該生存する個人に関する情報となる。また、「生存する個人」には日本国民に限られず、外国人も含まれるが、法人その他の団体は「個人」に該当しないため、法人等の団体そのものに関する情報は含まれない（ただし、役員、従業員等に関する情報は個人情報）。 — 個人情報の保護に関する法律についての経済産業分野を対象とするガイドライン(pdf) p2

「個人情報」とは、生存する個人に関する情報であって、当該情報に含まれる氏名、生年月日その他の記述等により特定の個人を識別できるもの、または「個人識別符号」が含まれるものを指す。この定義は意図的に広く設定されており、氏名や住所といった基本的な情報だけでなく、特定の個人に結びつく可能性のあるあらゆる情報が含まれる。

個人識別符号には、指紋データや顔認証データのような身体的特徴を変換した符号、旅券番号、運転免許証番号、そして後述するマイナンバー（個人番号）などが含まれる。一方で、特定の個人との対応関係が排除されている統計情報は、「個人に関する情報」には該当しないと解されている。また、死者に関する情報は原則として個人情報保護法の対象外であるが、その情報が同時に遺族など生存する個人に関する情報でもある場合は、その生存する個人の個人情報として保護の対象となり得る。

個人情報は、まず任意の一人の個人に関する1単位の情報全体であることが必要条件である。その上で、その情報に含まれる記述等により特定の個人が識別されるならば、その「個人に関する情報」全体は個人情報にあたる。

「個人データ」

「個人データ」とは、「個人情報データベース等」を構成する個人情報を指す。この「個人情報データベース等」とは、特定の個人情報をコンピュータを用いて検索できるように体系的に構成したもの、または紙媒体であっても目次や索引などによって容易に検索できるよう整理されたものを指す。 「個人情報」から「個人データ」への移行は、法規制における重要な一線である。情報が体系化され、データベース化されることで、大規模な漏えいのリスクが格段に高まるため、この段階からより厳格な義務が課される。具体的には、安全管理措置の実施や委託先の監督といった管理・提供に関する規制が適用されるようになる。実務上の重要な点として、データベースから紙に印刷された情報も、その取り扱いの結果として作成されたものであるため、「個人データ」に該当し、法の規制対象から外れることはない。

「保有個人データ」

「保有個人データ」とは、個人データのうち、事業者が本人からの開示、内容の訂正、追加または削除、利用の停止、消去および第三者への提供の停止（以下「開示等」）の請求のすべてに応じることができる権限を有するものを指す。

この区別は、データ主体アクセス要求（DSARs）に対応する上で極めて重要である。例えば、他社から業務委託を受けて取り扱っている個人データは、委託先事業者にとっては「保有個人データ」に該当しない。したがって、そのデータに関する開示等の請求は、委託元の事業者に対して行う必要がある。かつては6ヶ月以内に消去される短期保存データは保有個人データから除外されていたが、2022年4月1日に施行された改正法によりこの例外は撤廃され、短期保存データも開示等の対象に含まれるようになった。また、その存否が明らかになることにより公益等を害するおそれがある特定のデータは、保有個人データから除外される。

個人情報保護委員会は個人情報・個人データ・保有個人データについて、次の表のような位置関係にあるとしている。

個人情報（特定の個人を識別できる情報など）（個人情報保護法2条1項）
整理されていない名刺、アンケート、メモ書き、従業者の記憶にあるものなど 整理もされず、検索不能な画像データなど 個人情報データベース等（個人情報保護法2条4項）を構成する個人データ（個人情報保護法2条6項） 体系的に整理され、検索可能な状態にある 6か月以内に消去されるデータ 当該データの存否が明らかになると違法不当行為が助長されるデータ等 具体的には、顧客管理名簿、従業員データベース、それらから出力された帳票等 処分権限のない受託データ 委託先から提供された情報 処分権限のない共同利用者 業務提携などで提供を受けた情報であって、処分権限のないもの 保有個人データ（処分権限のあるもの）（個人情報保護法2条7項） 開示制限のない、開示可能な範囲のデータ 顧客データ 従業者データ その他データ

「3年ごと見直し」

個人情報保護法には、社会経済情勢の変化等を勘案し、おおむね3年ごとに見直しを行う規定がある。現状の個人情報保護法について、いくつかの重要な論点が議論されている。

• 同意規制の見直し：統計情報の作成など、個人の権利利益を侵害するおそれが低い特定の目的での利用や、取得状況から本人の意思に反しないと合理的に考えられる場合などについて、本人の同意取得義務を緩和し、「同意疲れ」や事業者の過度な負担を軽減する方向性が検討されている。
• 漏えい時の本人通知義務の緩和：漏えいした情報が会員番号など、それ自体では権利利益の侵害リスクが低いものである場合に、本人への通知義務を免除または緩和することが議論されている。
• データ処理を委託された事業者の規律強化：現状では委託元に監督義務が課されているが、クラウドサービス事業者やAI開発企業など、データ処理を専門に行う委託先事業者に対して、直接的な法的義務を課すことが検討されている。これは、責任の所在を明確化し、サプライチェーン全体でのセキュリティレベル向上を目指すものであり、実現すれば日本のデータ保護法制における責任分担のあり方を大きく変える可能性がある。
• 子どもの個人情報：心身の発達段階にある子どもの個人情報の取り扱いについて、より明確なルールを設けることが議論されている。特に、保護者の同意が必要となる具体的な年齢の基準や、事業者が講じるべき配慮義務などが検討課題となっている。

これらの議論の方向性は、日本の個人情報保護法が、硬直的なルールから、よりリスクベースで実効性を重視する現代的なデータ保護法制へと進化を続けていることを示している。2022年改正で導入された仮名加工情報、越境移転ルールの厳格化、そして罰則の大幅強化は、EUのGDPR（一般データ保護規則）に見られるようなアカウンタビリティ（説明責任）の原則を色濃く反映したものである。

2017年5月30日施行された改正個人情報保護法

日本では2005年まで行政機関以外を対象とする包括的な法律はなかったが、個人情報保護法により行政と民間の包括的な法制化が実現した。2015年9月9日に追加が発令、2017年5月30日に改正個人情報保護法で施行された。

対象事業者の拡大

• 改正前: 取り扱う個人情報が5,000件以下の事業者は、法律の適用対象外であった。
• 改正後: この「5,000件要件」が撤廃され、個人情報を1件でも事業のために取り扱うすべての事業者（企業、個人事業主、NPO、自治会、同窓会など）が個人情報保護法の対象となった。これにより、多くの中小企業なども法律を遵守する必要が出てきた。

「個人情報」の定義の明確化

• 「個人識別符号」の追加
  • 指紋データ、顔認識データ、パスポート番号、運転免許証番号、国民健康保険被保険者証の保険者番号及び被保険者記号・番号など、それ単体で特定の個人を識別できる符号が「個人識別符号」として定義される。氏名は個人識別符号に含まれない。これらが含まれる情報も個人情報であることが明確化された。
• 「要配慮個人情報」の新設
  • 「要配慮個人情報」とは、本人の人種、信条、社会的身分、病歴、犯罪の経歴、犯罪により害を被った事実その他、本人に対する不当な差別、偏見その他の不利益が生じないようにその取扱いに特に配慮を要するものとして政令で定める記述等が含まれる個人情報を指す。この情報を取得する際は、原則として本人の事前同意が必須となり、より厳格な取り扱いが求められる。
  • 要配慮個人情報に該当するカテゴリを網羅的に定めている。主なものは以下の通りである。
    • 人種、信条、社会的身分
    • 病歴、犯罪の経歴、犯罪被害の事実
    • 身体障害、知的障害、精神障害等があること
    • 健康診断やその他の検査の結果
    • 医師等による指導・診療・調剤が行われたこと
    • 本人を被疑者・被告人とする刑事事件に関する手続が行われたこと
    • 本人を非行少年等とする少年の保護事件に関する手続が行われたこと
  • ただし、「要配慮個人情報を推知させる情報」は、「要配慮個人情報」扱いにならない。例えば、特定の宗教に関する書籍の購買履歴や、特定の政党が発行する機関紙の購読履歴は、それ自体が直ちにその人の「信条」を示すものではないとされている。なぜなら、その動機が学術的な興味や教養である可能性も否定できないからである[1]。同様に、防犯カメラに記録された犯罪行為の映像も、映っている人物の「犯罪の経歴」を確定させるものではなく、あくまで推知情報に留まる。

「匿名加工情報」の新設

匿名加工情報は、個人情報を、特定の個人を識別できないように、かつ元の個人情報に復元できないように加工した情報である。国が定める基準に従って個人情報を「匿名加工情報」に加工すれば、本人の同意を得ずに第三者に提供したり、利用目的の制限なく分析・活用したりすることが可能になった。これにより、データの利活用を促進することができる。「他の情報と容易に照合することができ、それにより特定の個人を識別することができる」状態にあれば、当該仮名加工情報は個人情報に該当する（個人情報保護法第二条第一項）。

• 氏名、住所、生年月日が含まれる個人情報を匿名加工情報に加工する場合
  • 氏名を削除する。
  • 住所を削除する。又は、○○県△△市に置き換える。
  • 生年月日を削除する。又は、日を削除し、生年月に置き換える。
• 会員ID、氏名、住所、電話番号が含まれる個人情報を匿名加工情報に加工する場合
  • 会員ID、氏名、電話番号を削除する。
  • 住所を削除する。又は、○○県△△市に置き換える。

第三者提供ルールの厳格化（トレーサビリティの確保）

個人情報を第三者に提供した場合、事業者は「いつ、誰に、どのようなデータを提供したか」を記録し、一定期間保存することが義務付けられた。逆に、第三者から個人データの提供を受けた場合も、「いつ、誰から、どのような経緯で取得されたデータか」を確認・記録することが義務付けられた。本人の求めに応じて停止することを前提に、本人の同意なく第三者提供を行う「オプトアウト」という手続きについて、提供するデータ項目などを個人情報保護委員会へ事前に届け出ることが必要になった。

グローバル化への対応

インターネットを通じて国境を越えてデータがやり取りされる実態に合わせ、国外の事業者や国外へのデータ移転に関するルールが整備された。日本国内の人の個人情報を取り扱う外国の事業者にも、日本の個人情報保護法が適用されることが明確になった。日本から外国の事業者に個人データを提供する際は、原則として本人の同意が必要となった。同意を得る際には、移転先の国名やその国の個人情報保護制度などについて情報提供することが求められる。

個人情報保護委員会の設置

• それまでの「特定個人情報保護委員会」（主にマイナンバーを所管）が改組される形で、より強力な権限を持つ現在の「個人情報保護委員会」が発足した。改正前の法律では、各分野を所管する省庁が事業者を監督しており、分野によってルールの解釈や対応が異なるという課題があった。そこで、分野を横断して一元的にルールを解釈し、すべての事業者を監視・監督する「司令塔」として委員会が設置された。「個人情報保護委員会」は、政府の他の機関から独立した立場で、客観的かつ公正に法律を運用するために、高い独立性が与えられている。これにより、企業の活動や行政の都合に左右されず、個人の権利利益の保護を第一に考えることができる。

その他の主な変更点

• 罰則の強化:
  • データベースの不正提供などに対する「個人情報データベース等不正提供罪」が新設され、法人への罰金も大幅に引き上げられた。
• 個人の権利拡大
  • 従来は6ヶ月以内に消去する短期保存データは開示等の対象外でしたが、これも対象に含まれるようになった。また、個人の権利利益が害されるおそれがある場合にも、利用停止などを請求できるようになった。

2022年4月1日施行された改正個人情報保護法

個人の権利強化

2022年改正では、本人が自己の情報の開示をデジタル形式（電磁的記録）で請求できるようになったほか、利用停止・消去等を請求できる要件が緩和された。これにより、事業者が情報を利用する必要がなくなった場合や、漏えいが発生した場合にも、本人は利用停止等を求めることが可能になった。また、これまで開示対象外だった第三者提供記録も開示請求の対象となり、データのトレーサビリティが向上した。

「仮名加工情報」の新設

仮名加工情報は、他の情報と照合しない限り容易に特定の個人を識別することができないように個人情報を加工して得られる個人に関する情報。内部分析に利用を限定するなどの条件のもと、開示請求への対応や利用停止といった義務が緩和され、事業者がより安全にデータを分析・活用しやすくなった。ただし、「他の情報と容易に照合することができ、それにより特定の個人を識別することができる」状態にあれば、当該仮名加工情報は個人情報に該当する（個人情報保護法第二条第一項）。つまり、個人識別符号は削除・置換する必要がある。

• 会員ID、氏名、年齢、性別、サービス利用履歴が含まれる個人情報を仮名加工情報に加工する場合
  • 氏名を削除する。
• 氏名、住所、生年月日が含まれる個人情報を仮名加工情報に加工する場合
  • 氏名を削除する。
  • 住所を削除する。又は、○○県△△市に置き換える。
  • 生年月日を削除する。又は、日を削除し、生年月に置き換える。

「個人関連情報」の新設

個人関連情報は、個人情報、仮名加工情報及び匿名加工情報のいずれにも該当しないものである。それ単体では特定の誰かの情報とは分からないけれど、ある個人に関連する情報が該当する。

• Cookie情報
• IPアドレス
• 広告識別子（スマートフォンのIDFAやAAIDなど）
• ウェブサイトの閲覧履歴
• 商品の購買履歴
• 位置情報

国境を越えるデータの移転に関するルール

外国にある第三者に個人データを提供する場合、事業者は本人に対して、移転先の国名やその国の個人情報保護制度に関する情報などを提供した上で、同意を得ることが必要になった。

事業者の責務強化

重大な漏えい等が発生した場合のPPCへの報告および本人への通知が義務化され、法人に対する罰金の上限が最高1億円に大幅に引き上げられた。また、「不適正な利用の禁止」という新たな原則が導入され、法令違反ではないものの社会通念上不適切な方法での個人情報利用が禁じられた。

2024年4月1日施行された改正個人情報保護法

「ウェブスキミング」対策

ウェブサイトの決済フォームに入力されたクレジットカード情報などが、データベースに保存される前に攻撃者によって窃取される「ウェブスキミング」攻撃に対応する改正が施行された。この改正により、漏えい報告や安全管理措置の対象が、従来の「個人データ」（＝データベース化された情報）から、「取得し、または取得しようとしている個人情報」にまで拡大された。これにより、フォーム入力中の情報が窃取された場合でも、報告・通知義務が発生することになった。

業界別の規制環境

個人情報保護法が定める一般原則に加え、特定の業界では、その事業の性質や取り扱う情報の機微性に応じて、法律やより厳格なルールを定めたガイドラインが策定されている。

行政機関

行政機関の保有する個人情報については、行政機関の保有する個人情報の保護に関する法律により規定されている。

市町村役場・税務署・警察署のような行政機関には、本籍・住所・家族構成・所得など、極めて重要な個人情報が大量に存在する。個人情報が大量に存在するので、個人情報の管理と漏洩の防止を徹底する必要性が高い。

なお、かつての住民基本台帳については、第三者により、なおかつ本人の同意も得ずに閲覧も可能であった。住民基本台帳の閲覧制度を使用する者は、便利屋、名簿業者などグレーゾーンな者がほとんどで、窓口で「閲覧」の対象となった情報を、人海戦術の「手書き」で書き写すことで間接的に行政機関から持ち出し、データベースに記録することでダイレクトメール発信などの営利目的で利用されるなどの状況が発生したことや、一部で犯罪目的の使用があったことから、住民基本台帳法の改正が行われ、閲覧が制限されるようになっている。

近年では、役所が外部の民間企業への業務委託（外注、アウトソーシング）がなされる場合も増加しており、その場合には、地方・国家公務員法に基づく守秘義務が適用できないため、外注先での安全管理が図られるよう、発注者が監督することを委託契約で定める行政機関も多くなっている。

国家試験、国家資格の合格者や、自己破産した者などは、官報や都道府県などの公報で公表される。

日本国内に存在する個人情報保護法令の数は約2000にも上る。国の行政機関を対象とする法のみならず、各自治体もそれぞれ個人情報保護条例を制定している。このように多数の個人情報保護法令が存在することにより、各地域・各自治体によって適用すべき法令とその内容が微妙に異なる。防衛省人材育成課によると、防衛省は、自衛官募集のために高校や大学を卒業する若者（18歳と22歳）の住所、氏名、生年月日、性別について市区町村に名簿提出を毎年求めている。自治体の9割は自衛隊に当該情報を伝えていた。園田寿甲南大学法科大学院教授（個人情報問題）は自衛隊の要求に応じて名簿を渡した自治体側の対応を「違法の可能性が高い」とし、住民基本台帳法における「個人情報の目的外利用の禁止」や各自治体制定の個人情報保護条例に反している疑いがあると批判した。一方、自衛隊法97条は自治体の首長が自衛官の募集で「事務の一部を行う」と定め、自衛隊法施行令120条は防衛大臣が自衛官の募集に関して首長に「資料」の提出を求めることができるとしている。この問題は2016年から議論されており、新潟大学大学院の鈴木正朝教授（情報法）は、防衛大臣が自治体に住民基本台帳の情報提供を依頼し自治体がそれに応じることは、住民基本台帳法に提供規定がないことを理由に違法とは言えず、自衛隊法や同施行令に法的根拠があり適法だとした。加えて、情報提供の判断が各々の個人情報保護条例に照らしつつ自治体に委ねられていて、国が各自治体の個々の判断を尊重していることから法の運用としても妥当であり、さらには各自治体が自衛隊に代わって住民基本台帳の情報をもとにダイレクトメールを送れば名簿濫用のリスクも抑制できると同氏は述べた。この件からもわかるように、各自治体によって個人情報保護条例そのものも運用の仕方もまちまちである。

2013年（平成25年）の調査報告書によると、個人情報漏洩のおよそ44%が行政機関経由である。

金融分野

金融分野では、個人情報保護委員会と金融庁が共同で策定したガイドラインにより、一般の事業者よりも高いレベルの保護措置が求められる。金融分野ガイドラインは、法の「要配慮個人情報」よりもさらに広い概念として「機微（センシティブ）情報」を定義している。これには、要配慮個人情報の全項目に加え、「労働組合への加盟」「門地」「本籍地」「性生活」に関する情報が含まれる。要配慮個人情報が本人の同意を得れば取得可能であるのに対し、機微情報は、法令に基づく場合や業務の適切な運営を確保するために特に必要がある場合など、極めて限定された例外を除き、原則として本人の同意の有無にかかわらず取得、利用、第三者提供が禁止されている。個人データの第三者提供に関する「オプトアウト」手続も、機微情報については適用が認められていない。

金融庁が共同で策定したガイドラインは、より詳細かつ堅牢な安全管理措置（組織的、人的、物理的、技術的）を具体的に要求し、第三者提供の同意取得にあたっては原則として書面によることを求めるなど、一般法よりも厳格な運用を規定している。漏えい等が発生した場合の当局への報告義務も、より詳細に定められている。

金融分野の規制は、単なる同意取得を基本とする個人情報保護法のモデルを超え、機微情報に対しては「原則禁止」という、いわば「ゼロトラスト」に近いアプローチを採用している。個人情報保護法の要配慮個人情報に関する規定が「同意なく取得してはならない」という禁止の例外を設ける形であるのに対し、金融ガイドラインは「取得、利用、提供してはならない」という包括的な禁止から始まり、ごく一部の例外を認めるという構造になっている。この背景には、金融分野におけるリスクが、差別や偏見（要配慮個人情報の主眼）に留まらず、金融犯罪、詐欺、そして金融システム全体の信用の維持といった、より広範な公共の利益に関わるためである。

医療・介護分野

医療・介護分野は、人の生命や健康に関わる極めて機微な情報を取り扱うため、厚生労働省などが策定した専門のガイドラインが存在する。医療・介護分野では、「黙示の同意」という考え方が実務上広く認められている点である。患者への適切な医療を提供するため、他の医療機関との連携や、外部の専門医への意見照会、家族への病状説明といった目的で個人情報を利用する場合、院内掲示などで利用目的をあらかじめ公表し、患者本人が明確な反対の意思表示をしない限り、同意があったものと見なすことが許容されている。

このガイドラインは、医療分野特有の状況に対応するための詳細なルールを定めている。例えば、亡くなった患者の情報については、個人情報保護法の直接の対象外ではあるものの、故人の尊厳や名誉を尊重し、遺族からの照会に倫理的配慮をもって対応することが求められる。また、本人だけでなく血縁者にも影響が及ぶ遺伝情報については、カウンセリング体制の整備など、より厳格な管理と心理社会的支援が不可欠とされている。研究目的での情報利用は、通常の診療目的とは区別され、原則として別途本人の同意が必要となる。また、人の生命が関わる緊急時においては、規制は柔軟に適用される。大規模災害時など、意識不明の患者が多数搬送された状況で、本人同意を得るための手続が非現実的な場合、家族からの安否確認に対して情報を提供することは、法の例外規定に基づき許容され得る。

電気通信分野

電気通信事業者は、個人情報保護法に加え、電気通信事業法が保障する「通信の秘密」という憲法上の要請に由来する、より高度な保護義務を負う。通話内容、通信履歴、位置情報といった「通信の秘密」に係る情報は、通常の個人データよりも厳格に取り扱われる。これらの情報を利用または第三者提供するには、本人の明確な同意、裁判所の令状、またはその他の限定的な法的正当化事由がなければならず、違反には刑事罰も科される。近年の法改正で導入された重要な規制として「外部送信規律」がある。これは、事業者が自社のウェブサイトやアプリにおいて、CookieやSDK（ソフトウェア開発キット）などを通じて利用者の情報を外部の第三者（例：広告事業者、アクセス解析ツール提供者）に送信する場合、その送信先の名称や利用目的などを本人に通知するか、本人が容易に知り得る状態（例：プライバシーポリシーでの明記）に置くことを義務付けるものである。

人材サービス分野

人材紹介や労働者派遣といった人材サービス分野では、職業安定法などに基づき厚生労働省が定める指針により、求職者等の個人情報の保護が図られている。職業紹介事業者は、社会的差別の原因となるおそれのある特定の個人情報を収集してはならないと明確に規定されている。これには、人種、民族、社会的身分、本籍、思想・信条、労働組合への加入状況などが含まれる。これらの多くは要配慮個人情報と重複するが、採用選考という文脈において、より直接的かつ具体的に収集が禁止されている点が特徴である。派遣元事業者や職業紹介事業者は、登録者や派遣労働者の個人情報を適切に管理し、目的外利用を行わないことはもちろん、派遣先企業等における情報の適正な取り扱いについても配慮する責任を負う。

教育分野

上記の個人情報の他に、公立学校においては、各地方公共団体の個人情報保護条例の影響を強く受ける。また、文部科学省が「教育情報セキュリティポリシーに関するガイドライン」「教育データの利活用に係る留意事項」などの各種ガイドラインを定めており、全国の教育委員会や学校が遵守すべき基準を示している。

教育機関は生徒の健康診断票、成績・進路希望調査・内申書・在学証明・卒業証書などを扱っており、教員間での共有も必要最小限に留め、本人の同意なく第三者に提供することは固く禁じられている。また、卒業・退学後も一定期間、書類を保管する規定がある。

かつては、学級ごとに全員の連絡先を記載した緊急連絡網が配布されていたが、これは本人の同意なく個人情報を第三者（他の保護者）に提供することになるため、現在では原則として禁止されています。多くの場合、保護者の携帯電話への電子メールや学校からの一斉メール配信システムなどに移行している。PTAや同窓会についても、かつては名簿を同意なく提供していたが、学校とは別の任意団体であるため、本人の明確な同意が必要である。いじめや不登校への対応において、児童相談所、医療機関、警察などと連携する場合においては、生命や身体の保護に重大な危険があると判断された場合は、同意なく情報が提供可能である。

デジタル教科書やICT教材や学力調査におけるデータの利活用も進んでいる。国や教育委員会は個人が特定できないように処理された「仮名加工情報」を用い、実態把握や指導の改善のための活用がすすめている。「児童生徒への教育指導の改善」や「学力推移の把握」が目的である場合は、個人名が記載された結果を利用する場合がある。

現在では、教育機関においては、入学時に各種個人情報の同意書を得る手続きが行われている。児童生徒の発達段階によっては、同意したことによって生じる結果について自分で理解・判断できないことも考えられるので、保護者から、同意を取得することも可能になっている。

研究室のホームページに大学・大学院生の名前などが掲載される場合がある。個人情報保護法では、大学その他の学術研究を目的とする機関若しくは団体又はそれらに属する者が、学術研究の用に供する目的であるときは、個人情報取扱事業者の義務の適用を受けない（50条）。

個人情報保護の流出事例

ソフトバンクのYahoo! BB登録者の個人情報の流出

2004年1月23日、ソフトバンクはYahoo! BB登録者の個人情報が外部に漏れていた事を発表した。この時点での発表では242人分、その後の2月27日には約470万人分の情報が漏れていた可能性を示唆し、最終的な漏洩数は約450万人であるとした。日弁連のコンピューター委員会が発表したところでは漏洩数は660万人であるとしている。なお、2月24日には警視庁は主犯格である右翼団体「新生日本協議会」元会長で出版社経営の人物と東京都内のヤフーBB代理店の役員2名をソフトバンク本社に対し個人情報と引き換えに30億円を脅し取ろうとした恐喝未遂容疑で逮捕した。また、以上の東京都内のルートとはまったく別の犯行として、愛知県の会社員も個人情報と引き換えに1000万円を恐喝した同様の容疑で逮捕した。3月初旬、ソフトバンクは個人情報管理諮問委員会および技術諮問委員会を設置し、全容解明に取り組むんだ。原因は、データベース・アクセス用のアカウントを一部グループで共有しており、本来は情報を扱うべきではない社員から情報が外部に流出してしまった。ソフトバンクBBの公表した被害総額は100億円を超える。

ベネッセコーポレーションの内部不正（委託先） による流出

ベネッセコーポレーションの業務委託先のデータベース管理担当者が、約3,500万件にのぼる顧客情報を不正に持ち出し、名簿業者に売却した。 「委託先の監督」義務の不履行。委託先従業員に必要以上のアクセス権限を付与し、データのアクセスログ監視が不十分であったことが原因と指摘されている。事件後、同社は外部の有識者からなる監視機関の設置、シンクライアントシステムの導入によるデータ持ち出しの物理的制限、データベース管理・保守・利用の権限分離による相互牽制体制の構築、そして漏えいした情報を利用する他事業者への利用停止の働きかけなど、技術的・組織的両面から大規模な再発防止策を講じた。

メタップスペイメント（2022年）の 脆弱性の放置による流出

決済システムのアプリケーションに存在したSQLインジェクションの脆弱性を突かれ、最大約46万件のクレジットカード情報が漏えいし。既知の脆弱性を修正していなかったこと、不十分なセキュリティ対策、さらにはコンプライアンス報告書を改ざんしていた疑いも指摘された。この事案に対し、個人情報保護委員会は指導を、経済産業省は割賦販売法に基づく業務改善命令を発出した。第三者委員会を設置して原因究明を行うとともに、IPアドレス制限や多要素認証の導入といった技術的対策、複数回にわたるPCI DSS（クレジットカード業界のセキュリティ基準）準拠性評価の実施、そしてガバナンス体制の抜本的な見直しを行った。

NTTグループ（2023年）の長期・大規模な内部不正

NTT西日本のグループ会社からクライアント企業に派遣されていた元派遣社員が、約10年間にわたり、保守作業用の端末から約928万件の顧客情報を不正に持ち出し続けていた。保守用端末にダウンロード可能な権限が過剰に付与されていたこと、異常な量のデータ持ち出しを検知するためのログ監視・分析体制が機能していなかったこと、そして過去の調査が不十分で不正を見抜けなかったことが挙げられる。 NTT西日本グループは、約100億円という巨額の予算を投じ、グループ横断的なセキュリティ強化策に着手。アカウント管理の一元化、USBメモリ等の外部記憶媒体の原則利用禁止、AIを活用したログ監視の高度化、そしてセキュリティ専門組織の強化と経営層のコミットメントを明確にした。

米国における個人情報保護

米国には1974年制定の連邦プライバシー法などがあるが、個人情報の保護は分野別で個別に対応しておりそれぞれ第三者委員会が定められている。

欧州における個人情報保護

EUでは1995年に「個人データ処理及びデータの編集などに関する個人の保護に関する指令」（EU個人データ保護指令）が出された。

2002年には「個人情報の処理と電子通信部門におけるプライバシーの保護に関する指令」（eプライバシー指令）が出され、2009年に一部改正された。

プライバシー保護の観点から、法の改正を行うことは重要である。

関連項目

• 個人情報保護法
• 個人情報保護法関連五法
• 個人情報の保護に関する法律（個人情報保護法）
• 名簿業者
• 個人情報保護審査会
• 個人情報漏洩
• 行政機関の保有する個人情報の保護に関する法律（行政機関個人情報保護法）
• 住民基本台帳ネットワークシステム
• 信用情報
• 同窓会名簿
• JIS Q 15001 - プライバシーマーク
• Yahoo! BB顧客情報漏洩事件
• ベネッセ個人情報流出事件
• 国民識別番号
• 死後のプライバシー
• 情報処理と自由に関する全国委員会（CNIL） ‐ フランスの個人情報監督機関