個人情報の保護に関する法律 第2条（定義）
クイックジャンプ
- この法律において「個人情報」とは、生存する個人に関する情報であって、次の各号のいずれかに該当するものをいう。
- 一当該情報に含まれる氏名、生年月日その他の記述等（文書、図画若しくは電磁的記録（電磁的方式（電子的方式、磁気的方式その他人の知覚によっては認識することができない方式をいう。次項第二号において同じ。）で作られる記録をいう。以下同じ。）に記載され、若しくは記録され、又は音声、動作その他の方法を用いて表された一切の事項（個人識別符号を除く。）をいう。以下同じ。）により特定の個人を識別することができるもの（他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなるものを含む。）
- 二個人識別符号が含まれるもの
- 2.この法律において「個人識別符号」とは、次の各号のいずれかに該当する文字、番号、記号その他の符号のうち、政令で定めるものをいう。
- 一特定の個人の身体の一部の特徴を電子計算機の用に供するために変換した文字、番号、記号その他の符号であって、当該特定の個人を識別することができるもの
- 二個人に提供される役務の利用若しくは個人に販売される商品の購入に関し割り当てられ、又は個人に発行されるカードその他の書類に記載され、若しくは電磁的方式により記録された文字、番号、記号その他の符号であって、その利用者若しくは購入者又は発行を受ける者ごとに異なるものとなるように割り当てられ、又は記載され、若しくは記録されることにより、特定の利用者若しくは購入者又は発行を受ける者を識別することができるもの
- 3.この法律において「要配慮個人情報」とは、本人の人種、信条、社会的身分、病歴、犯罪の経歴、犯罪により害を被った事実その他本人に対する不当な差別、偏見その他の不利益が生じないようにその取扱いに特に配慮を要するものとして政令で定める記述等が含まれる個人情報をいう。
- 4.この法律において個人情報について「本人」とは、個人情報によって識別される特定の個人をいう。
- 5.この法律において「仮名加工情報」とは、次の各号に掲げる個人情報の区分に応じて当該各号に定める措置を講じて他の情報と照合しない限り特定の個人を識別することができないように個人情報を加工して得られる個人に関する情報をいう。
- 一第一項第一号に該当する個人情報当該個人情報に含まれる記述等の一部を削除すること（当該一部の記述等を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む。）。
- 二第一項第二号に該当する個人情報当該個人情報に含まれる個人識別符号の全部を削除すること（当該個人識別符号を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む。）。
- 6.この法律において「匿名加工情報」とは、次の各号に掲げる個人情報の区分に応じて当該各号に定める措置を講じて特定の個人を識別することができないように個人情報を加工して得られる個人に関する情報であって、当該個人情報を復元することができないようにしたものをいう。
- 一第一項第一号に該当する個人情報当該個人情報に含まれる記述等の一部を削除すること（当該一部の記述等を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む。）。
- 二第一項第二号に該当する個人情報当該個人情報に含まれる個人識別符号の全部を削除すること（当該個人識別符号を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む。）。
- 7.この法律において「個人関連情報」とは、生存する個人に関する情報であって、個人情報、仮名加工情報及び匿名加工情報のいずれにも該当しないものをいう。
- 8.この法律において「行政機関」とは、次に掲げる機関をいう。
- 一法律の規定に基づき内閣に置かれる機関（内閣府を除く。）及び内閣の所轄の下に置かれる機関
- 二内閣府、宮内庁並びに内閣府設置法（平成十一年法律第八十九号）第四十九条第一項及び第二項に規定する機関（これらの機関のうち第四号の政令で定める機関が置かれる機関にあっては、当該政令で定める機関を除く。）
- 三国家行政組織法（昭和二十三年法律第百二十号）第三条第二項に規定する機関（第五号の政令で定める機関が置かれる機関にあっては、当該政令で定める機関を除く。）
- 四内閣府設置法第三十九条及び第五十五条並びに宮内庁法（昭和二十二年法律第七十号）第十六条第二項の機関並びに内閣府設置法第四十条及び第五十六条（宮内庁法第十八条第一項において準用する場合を含む。）の特別の機関で、政令で定めるもの
- 五国家行政組織法第八条の二の施設等機関及び同法第八条の三の特別の機関で、政令で定めるもの
- 六会計検査院
- 9.この法律において「独立行政法人等」とは、独立行政法人通則法（平成十一年法律第百三号）第二条第一項に規定する独立行政法人及び別表第一に掲げる法人をいう。
- 10.この法律において「地方独立行政法人」とは、地方独立行政法人法（平成十五年法律第百十八号）第二条第一項に規定する地方独立行政法人をいう。
- 11.この法律において「行政機関等」とは、次に掲げる機関をいう。
- 一行政機関
- 二地方公共団体の機関（議会を除く。次章、第三章及び第六十九条第二項第三号を除き、以下同じ。）
- 三独立行政法人等（別表第二に掲げる法人を除く。第十六条第二項第三号、第六十三条、第七十八条第一項第七号イ及びロ、第八十九条第四項から第六項まで、第百十九条第五項から第七項まで並びに第百二十五条第二項において同じ。）
- 四地方独立行政法人（地方独立行政法人法第二十一条第一号に掲げる業務を主たる目的とするもの又は同条第二号若しくは第三号（チに係る部分に限る。）に掲げる業務を目的とするものを除く。第十六条第二項第四号、第六十三条、第七十八条第一項第七号イ及びロ、第八十九条第七項から第九項まで、第百十九条第八項から第十項まで並びに第百二十五条第二項において同じ。）
この条文の基本情報
定義とは何ですか？
定義定義とは、個人情報の保護に関する法律第2条に定められた規定で、「この法律において「個人情報」とは、生存する個人に関する情報であって、次の各号のいずれかに該当するものをいう。」と規定しています。
出典：e-Gov法令検索（デジタル庁）
- 個人情報の保護に関する法律第2条（定義）は、日本の個人情報の保護に関する法律に含まれる条文です。
- 個人情報の保護に関する法律第2条の条文原文は「この法律において「個人情報」とは、生存する個人に関する情報であって、次の各号のいずれかに該当するものをいう。」で始まります。
- 個人情報の保護に関する法律第2条は第一章 総則に置かれています。
- 個人情報の保護に関する法律の公布日は平成15年5月30日です。
- 個人情報の保護に関する法律について、LawPlayer が e-Gov法令検索から取得した令和8年10月2日時点では廃止情報はありません。
- 個人情報の保護に関する法律第2条の前の条は個人情報の保護に関する法律第1条です。
- 個人情報の保護に関する法律第2条の次の条は個人情報の保護に関する法律第3条です。
- 個人情報の保護に関する法律第2条には、要件・効果とよくある質問をまとめた解説が本ページにあります。
この条文を引用する
下の三行はそのまま引用に使えます（法令番号・条番号・出典・取得日を含みます）。
- 正式書式
個人情報の保護に関する法律（平成十五年法律第五十七号）第2条 - 官報・e-Gov
e-Gov法令検索 https://laws.e-gov.go.jp/law/415AC0000000057 - 本サイト収録
個人情報の保護に関する法律（平成十五年法律第五十七号）第2条（LawPlayer 収録、取得日 令和8年10月2日）https://lawplayer.com/jp/article/415AC0000000057/2
わかりやすく解説 AI による整理。効力は条文原文が基準です
要点個人情報保護法2条は個人情報を定義する規定で、氏名等で特定の個人を識別できる情報や個人識別符号を含む。氏名がなくても他の情報と容易に照合して識別できるものも個人情報に含まれる。
Q · Cookie とか社員番号だけのデータって、結局『個人情報』なんですか？
他の情報と容易に照合して個人を識別できれば個人情報です
個人情報保護法2条1項は、氏名等で特定の個人を識別できる情報を個人情報とし、括弧書きで「他の情報と容易に照合でき、それにより特定の個人を識別できるもの」も含めます。だから社員番号だけのファイルも、人事の対照表が社内にあれば個人情報です。逆に Cookie ID 単体は7項の個人関連情報にとどまりますが、提供先で個人データになると分かっていれば、31条により本人同意の確認義務が生じます。どの箱に入るかで義務が一斉に変わります。
解説
名刺一枚、防犯カメラの映像、Cookie に紐づく閲覧履歴。この三つのうち法律上の「個人情報」はどれか。答えは「場合による」であり、その分岐点を握っているのが2条である。鍵は第1項第1号の括弧書き、「他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなるものを含む」。この容易照合性という一言のせいで、社員番号しか入っていないファイルも、対照表が社内のどこかにある限り個人情報になる。逆に Cookie ID 単体は個人情報ではなく、7項の「個人関連情報」に落ちる。だが落ちた先に31条という別の仕掛けがある。提供先で個人データとして取得されると分かっているなら、本人同意の確認義務が発生する。あなたの会社が抱えるデータがどの箱に入るかで、必要な同意も、通知も、罰則の重さも、すべて変わる。2条は定義条文の顔をした、適用範囲の配電盤である。
法的な位置づけ
個人情報の保護に関する法律第2条は本法の定義規定であり、生存する個人に関する情報のうち、記述等により特定の個人を識別できるもの、または個人識別符号を含むものを「個人情報」と定める。他の情報と容易に照合して個人を識別できる情報も含まれる。あわせて要配慮個人情報・仮名加工情報・匿名加工情報・個人関連情報を区分し、各義務の適用範囲を画定する。
よくある質問 AI による整理
Q1個人情報の定義とは？
生存する個人に関する情報で、氏名等により特定の個人を識別できるもの、または個人識別符号を含むものです（個人情報保護法2条1項）。他の情報と容易に照合して識別できるものも含みます。
Q2個人識別符号とは何ですか？
指紋・顔認証データなど身体の特徴を変換した符号や、旅券番号・免許証番号・マイナンバーなど政令が列挙する符号です（2条2項）。これ単体で個人情報になります。
Q3要配慮個人情報とは？
人種・信条・社会的身分・病歴・犯罪の経歴など、不当な差別や偏見が生じないよう特に配慮を要する情報です（2条3項）。取得に原則同意が必要です。
Q4仮名加工情報と匿名加工情報の違いは？
仮名加工情報は他の情報と照合しない限り識別できないよう加工したもので、自社保有中はなお個人情報です。匿名加工情報は復元不可能まで加工したもので、基準を満たせば個人情報から外れます。
Q5個人関連情報とは？
生存する個人に関する情報のうち、個人情報・仮名加工情報・匿名加工情報のいずれにも当たらないものです（2条7項）。Cookie ID 単体などが典型です。
Q6Cookie は個人情報ですか？
Cookie ID 単体は原則7項の個人関連情報です。ただしログイン ID 等と社内で容易に照合できる場合は1項の個人情報になります。
Q7社員番号だけのデータは個人情報ですか？
社内に氏名との対照表があり容易に照合できるなら個人情報です。判断基準は氏名の有無ではなく容易照合性です（2条1項括弧書き）。
Q8個人情報はどこから個人情報になりますか？
特定の個人を識別できる状態、または他の情報と容易に照合して識別できる状態になった時点からです。顔認証データへの変換時など加工の瞬間に該当することもあります。
この条文についての質問 AI による整理
Q1携帯電話番号とかメールアドレスって、個人情報なんですか？
単体では個人識別符号ではない。政令が列挙するのは、旅券番号・基礎年金番号・免許証番号・住民票コード・個人番号や、指紋や顔認証データなどである。ただし社内で氏名と容易に照合できるなら1項により個人情報になる。実務のポイント：クレジットカード番号も携帯電話番号も個人識別符号ではない。この非対称を知らずに「番号は全部が個人情報」という社内規程を作ると、本来必要な顔認証データの管理が薄いまま、不要な統制だけが現場を疲弊させる
Q2匿名加工情報にしてしまえば、自由に売っていいんですよね？
6項の基準を満たす加工に加え、作成時と提供時の公表、提供時の項目・提供方法の明示が要る（43条）。仮名加工情報は別物で、原則として第三者提供できない（41条6項）。実務のポイント：匿名加工のハードルが実務上高いため、多くの企業は仮名加工にとどめて社内分析にだけ使っている。危ないのは、社内で「匿名化した」と呼びながら法的にはなお個人情報という状態のまま、営業が外部提供を約束してしまう瞬間である
間違えやすい点 AI による整理
- 「うちは氏名を持っていないから個人情報ではない」という問いの立て方そのものが誤っている。法律が問うのは氏名の有無ではなく、他の情報と容易に照合して特定の個人にたどり着けるかどうかである。社員番号だけのログファイルも、人事の対照表が同じ社内にある限り個人情報になる。問うべきは「名前があるか」ではなく「社内のどこかに鍵があるか」だ
- 要配慮個人情報という言葉を知っている人は多いが、その扱いの厳しさを知る人は少ない。病歴・犯罪の経歴・信条などは、取得に原則として本人同意が必要（20条2項）なだけでなく、オプトアウトによる第三者提供が一切できない（27条2項）。さらに漏えいが1件でもあれば、委員会への報告と本人への通知が義務になる。件数の閾値がない
- あなたから見れば「暗号化して名前を消したから安全」だが、法律から見れば仮名加工情報は、自社で作成し削除情報等を保有している限り、なお個人情報でもある（5項、41条）。利用目的の変更制限は緩むが、第三者提供は原則禁止のままだ。この落差に気付かず「匿名化済みなので他社に渡せます」と説明した現場が、あとから同意なき第三者提供の当事者になる
| 比較の観点 | この条文 | ほかの条文 |
|---|---|---|
| 定義箱（該当条項） | 個人情報（2条1項・2項） | 個人関連情報（2条7項） 仮名加工情報（2条5項） |
| 個人の識別 | 特定の個人を識別できる（容易照合含む） | 単体では特定の個人を識別できない 他の情報と照合しない限り識別できない |
| 第三者提供 | 原則同意が必要（27条） | 提供先で個人データ化するなら同意確認（31条） 原則第三者提供禁止（41条6項） |
| 該当例 | 氏名＋住所、顔認証データ、対照表付き社員番号 | Cookie ID 単体、閲覧履歴 ID を削除し社内分析用に加工したデータ |
他国ではどう定めているか 4 か国
台湾も自然人を識別できる情報を個人資料と定義。連結識別可能性を含める点で日本の容易照合性に近い
韓国も他の情報と容易に結合して識別できる情報を含め、仮名情報（가명정보）の区分を設ける点で日本と類似
EU は識別可能な自然人に関するすべての情報を広く個人データとし、オンライン識別子（Cookie 等）も明文で含める。日本の個人関連情報より広い
米国は連邦包括法がなく州法ごと。CCPA は世帯やデバイスに紐づく情報まで広く含め、定義の外延が日本と異なる
AI による対応参考であり、公式の対照ではありません。各国の原文が基準です
想定される場面と対応 AI による整理
こんなときに使う
- 公開されている SNS の投稿を集めるのは、本当に自由なのか？ 採用面接の前に応募者のアカウントを調べ、宗教団体の集会に参加している投稿をスクリーンショットして社内共有した。信条は3項の要配慮個人情報であり、取得そのものに原則として本人の同意が必要である（20条2項）。「公開されているのだから自由」という感覚は、この条文の前で崩れる
- 防犯カメラの映像を、来店客の顔認証データに変換して来店回数を集計した。顔認証データは2項の個人識別符号であり、変換したその瞬間から映像は個人情報になる。ただ撮っているだけの状態とは、法的な重さが違う
- 自社サイトに広告計測タグを入れたところ、Cookie ID と閲覧履歴が広告事業者へ送られていた。個人情報保護委員会からの報告徴収への回答期限まであと10日。あなたはまず、その Cookie が7項の個人関連情報なのか、ログイン ID と社内で容易に照合できてしまう1項の個人情報なのかを切り分けなければならない。この切り分けを間違えると、回答書そのものが虚偽報告になる
取るべき行動
被害を受けた側：1. 自分の情報がどの箱に入っているかを特定する。氏名がなくても、事業者側で容易に照合できるなら個人情報であり、開示・利用停止の請求権（33条以下）が及ぶ2. 事業者に開示請求を書面で行い、利用目的・第三者提供先の記録（29条、30条）まで求める3. 回答が不十分、または要配慮個人情報が同意なく取得されていたと分かれば、個人情報保護委員会へ申出を行う4. 損害賠償は別軌道で、民法709条により請求する
訴えられた側：1. まず反論する前に、自社が持つデータを1項（個人情報）・2項（個人識別符号）・3項（要配慮）・5項（仮名加工）・6項（匿名加工）・7項（個人関連情報）に分類し、社内の対照表の所在を洗い出す2. 容易照合性が否定できる根拠（対照表を保持していない、アクセス権限が物理的に遮断されている等）を記録として固める3. 漏えいなら期限内の速報を優先し、原因究明は確報で行う4. 「匿名化済み」という社内用語を、法律上の匿名加工情報と混同していないか、真っ先に確認する
時効（請求できる期限）：本条自体に期限の定めはない。ただし漏えい等が発生した場合、個人情報保護委員会への速報は事態を知った時から概ね3日から5日以内、確報は30日以内（不正の目的による行為が原因の場合は60日以内）である（施行規則8条、最新の改正状況をご確認ください）。本人からの損害賠償請求は民法709条により、損害および加害者を知った時から3年（人の生命または身体を害する場合は5年）
学説
通説（提供元基準説）：2条1項括弧書きの容易照合性は、情報を保有・提供する事業者側で他の情報と容易に照合できるかを基準に判断する。提供先での識別可能性を基準とする少数説もあるが、実務・ガイドラインは提供元基準を採る。
通説：仮名加工情報（5項）は、自社で作成し削除情報等を保有している限りなお個人情報でもあり、利用目的変更の制限は緩むが第三者提供は原則禁止。匿名加工情報（6項）とは規律が明確に異なるとされる。
改正沿革 AI による整理
- 平成27年（2015年）改正 個人識別符号、要配慮個人情報、匿名加工情報の定義を新設し、識別可能性の判断を明確化した。あわせて5,000件要件が廃止され、1件でも個人データを扱えば個人情報取扱事業者となった
- 令和2年（2020年）改正 仮名加工情報と個人関連情報の定義を新設。Cookie 等の識別子を単体では個人情報としないまま、提供時の同意確認義務（31条）で規律する構造を作った
- 令和3年（2021年）改正 行政機関個人情報保護法と独立行政法人等個人情報保護法を本法に統合し、行政機関・独立行政法人等・地方独立行政法人・行政機関等の定義（第8項から第11項）を本条に追加した
改正の年表
- 1.平成27年（2015年） 改正：個人識別符号・要配慮個人情報・匿名加工情報の定義を新設し識別可能性の判断を明確化。あわせて5,000件要件が廃止され、1件でも個人データを扱えば個人情報取扱事業者となった
- 2.令和2年（2020年） 改正：仮名加工情報と個人関連情報の定義を新設。Cookie 等の識別子を単体では個人情報としないまま、提供時の同意確認義務（31条）で規律する構造を作った
- 3.令和3年（2021年） 改正：行政機関個人情報保護法等を本法に統合し、行政機関・独立行政法人等・地方独立行政法人・行政機関等の定義（8項〜11項）を本条に追加した
- 個人情報の保護に関する法律 第16条個人データ・保有個人データの派生定義
- 個人情報の保護に関する法律 第20条要配慮個人情報の取得制限の根拠
- 個人情報の保護に関する法律 第27条第三者提供制限とオプトアウトの除外
- 個人情報の保護に関する法律 第31条個人関連情報の提供時の同意確認義務
- 個人情報の保護に関する法律 第41条仮名加工情報の作成と取扱いの制限
- 個人情報の保護に関する法律 第43条匿名加工情報の作成と公表義務
- 行政手続における特定の個人を識別するための番号の利用等に関する法律 第2条特定個人情報を上乗せ規律する特則（通称 マイナンバー法）
- 電気通信事業法 第27条の12利用者情報の外部送信規律の特則
ログインすると、この条文にメモを残して他の利用者と共有できます。
ログインして共同ノートを始める