個人情報保護法

個人情報保護法とは、個人情報を取り扱う事業者が守るべきルールを定めた日本の法律です。 正式名称は「個人情報の保護に関する法律」です。

別表記：個人情報保護法／個情法／個人情報の保護に関する法律／APPI

何を定めているか

個人情報を扱う事業者に対して、利用目的を特定して本人に示すこと、目的に必要な範囲を超えて扱わないこと、本人の同意なく第三者に提供しないこと、漏えいしないよう安全に管理すること、本人からの開示や訂正の求めに応じること、といった義務を定めています。

漏えいなどが起きた場合には、個人情報保護委員会への報告と本人への通知が義務づけられています。

法律は定期的に見直されており、改正のたびに事業者の義務が追加されてきました。

AIとの関係

AIに社内の資料を読み込ませるとき、その資料に顧客や社員の個人情報が含まれていれば、個人情報保護法の対象になります。利用目的の範囲内か、外部のAIサービスに渡す場合は第三者提供や委託にあたるのか、安全管理措置は取られているか。AIを使うからといって、法律の義務が軽くなることはありません。

AIエージェントが業務を実行する段階では、さらに問題が具体的になります。AIが個人情報を含むファイルを読み、社外に送信すれば、漏えいです。悪意がなくても、報告義務は生じます。

VCとの関係

VC（Verifiable Credentials）が個人情報保護法に関わる場面は二つあります。

一つは、VCそのものに個人情報が含まれる場合です。社員の氏名や所属を証明するVCは、個人情報です。発行、保管、提示のそれぞれで、法律の義務がかかります。選択的開示を使えば、提示のたびに必要な項目だけを渡せるので、目的に必要な範囲を超えない扱いを技術的に実現できます。

もう一つは、AIエージェントの権限をVCで区切る場合です。個人情報を含むフォルダへのアクセスを、業務上必要なAIだけに、必要な期間だけ許可する。これは安全管理措置の一つとして位置づけられます。

よくある誤解

VCを使えば、個人情報保護法を満たせるのか。 技術は手段であって、法律の義務を満たすかどうかは、組織の運用全体で決まります。VCは、必要最小限の扱いや、アクセスの限定を実現する手段の一つです。

AIに読ませるだけなら、第三者提供にはならないか。 外部のAIサービスに個人情報を送る場合、サービスの契約内容や、データの扱われ方によって、委託にあたるか第三者提供にあたるかが変わります。個別の判断が必要な領域で、一律には言えません。

匿名化すれば自由に使えるのか。 匿名加工情報という制度があり、所定の加工をすれば本人の同意なく使える範囲が広がります。ただし、加工の方法と公表の義務が定められており、単に名前を消せばよいというものではありません。

一覧に戻る