個人識別符号とは？定義と具体例・生体情報や顔認証データとの関係を解説

個人識別符号とは何かを正しく理解する

個人識別符号は個人情報保護法で定められた概念で、その情報単体から特定の個人を識別できる符号のうち、政令や規則で定められたものを指します。まずは法律上の位置づけと、どのような符号が対象になるのかという全体像を押さえておきましょう。

個人識別符号の定義と個人情報保護法での位置づけ

個人識別符号とは、個人情報保護法第２条で定義された、特定の個人の身体的特徴を電子計算機で利用できるように変換した符号や、個人ごとに割り当てられた番号などのうち、政令や規則で定められたものです。氏名や住所などと組み合わせなくても、その符号単体から特定の個人を識別できる性質を持ちます。

個人識別符号が含まれる情報は、個人情報として扱われます。そのため、自社が取得・利用するデータに個人識別符号が含まれている場合は、個人情報保護法に沿った取り扱いが必要です。特に、生体認証で扱う顔や指紋などの特徴量データは、この区分に関わる場合があるため、導入前に確認しておきましょう。

参考：個人情報の保護に関する法律｜e-Gov 法令検索
参考：「個人情報の保護に関する法律についてのガイドライン」に関するQ&A｜個人情報保護委員会

個人識別符号の２つの分類

個人識別符号は、大きく２つに分類できます。１つ目は、身体の一部の特徴を電子計算機で利用できるように変換し、本人を識別できる水準にした符号です。指紋や顔、虹彩などから生成される認証用データが代表例として挙げられます。

２つ目は、法令に基づいて個人ごとに割り当てられた番号などです。マイナンバーや旅券番号、基礎年金番号、運転免許証番号などが該当します。いずれも政令や規則で個人識別符号として定められている点が重要です。生体認証システムは、主に１つ目の分類に深く関係します。

個人情報や個人データとの違い

個人情報は、氏名や生年月日などによって特定の個人を識別できる情報や、個人識別符号を含む情報を指す広い概念です。その中に、法律で定められた個人識別符号も含まれます。

一方、個人データとは、個人情報データベース等を構成する個人情報です。例えば、顧客情報や従業員情報を検索できる形でシステムに整理して管理している場合、その情報は個人データに該当することがあります。個人情報と個人データでは法律上適用される義務が異なるため、区別して理解することが重要です。

個人識別符号の具体例と該当するもの・しないもの

個人識別符号に該当するかどうかは、単に個人と結びつく情報かだけでは判断できません。個人情報保護法の施行令や施行規則で定められた符号に当たるかを確認する必要があります。ここでは、身体的特徴に関する符号と公的な番号に分けて具体例を紹介します。

身体的特徴に関する符号の例

身体的特徴に関する個人識別符号には、指紋や掌紋、顔の特徴、虹彩、静脈、声、歩行の態様、DNAを構成する塩基配列などから生成される符号があります。ただし、身体的特徴に関する情報を単に電子化しただけで、すべてが個人識別符号になるわけではありません。

個人識別符号に該当するのは、本人認証を目的とした装置やソフトウェアなどによって、登録済みの生体情報と照合し、特定の個人を識別できる水準に変換された符号です。例えば顔認証システムで利用する顔特徴データや、指紋認証に用いる照合用データなどが該当します。

公的な番号に関する符号の例

公的な番号に関する個人識別符号には、マイナンバー（個人番号）、旅券番号、基礎年金番号、運転免許証番号、住民票コードなどがあります。法令に基づき個人ごとに割り当てられた番号のうち、政令や規則で定められているものが対象です。

また、医療・介護保険に関する情報では、保険者番号・被保険者記号・番号の３つが揃った場合に個人識別符号に該当します。被保険者記号がない場合は、保険者番号と番号の２つが揃うことで該当します。各番号が単独で必ず個人識別符号になるわけではないため注意しましょう。

なかでもマイナンバーは、個人情報保護法に加えて番号法による規制を受けます。利用できる事務や提供できる場合などが限定されているため、ほかの個人識別符号とは区別して取り扱う必要があります。

参考：医療・介護保険各法に規定する保険者番号・被保険者記号・番号は、それぞれの番号等自体が個人識別符号なのですか、それとも３つ揃うことで個人識別符号なのですか。｜個人情報保護委員会

該当するものと該当しないものの見分け方

個人識別符号に該当するかを判断する際は、その情報が単体で個人を識別できるかだけでなく、個人情報保護法の施行令や施行規則で個人識別符号として定められているかを確認する必要があります。本人を識別できる水準に変換された生体認証用データや、法令で定められた公的番号などが代表例です。

一方、メールアドレスや携帯電話番号、クレジットカード番号などは、それ自体が個人識別符号として定められているわけではありません。ただし、氏名などほかの情報と容易に照合することで特定の個人を識別できれば、個人情報に該当する場合があります。個人識別符号ではないから自由に扱えるという意味ではありません。

参考：携帯電話番号やクレジットカード番号は個人識別符号に該当しますか。｜個人情報保護委員会

生体情報と顔認証データと個人識別符号の関係

生体認証の導入を考えるうえで重要なのが、生体情報や顔認証データの取り扱いです。生体情報そのものと、認証用に加工されたデータでは法律上の扱いが異なる場合があります。どのような状態で個人識別符号に該当するのかを確認しましょう。

生体情報とは何か

生体情報とは、指紋や顔、虹彩、静脈、声など、身体的な特徴に関する情報の総称です。本人固有の特徴を利用できることから、入退室管理や端末へのログインなど、さまざまな本人認証に活用されています。

ただし、生体情報そのものがすべて個人識別符号になるわけではありません。登録された生体情報と照合し、特定の個人を識別できる水準に変換された符号が、個人識別符号に該当します。また、生体情報にはパスワードのように容易に変更・再発行できないものが多いため、取り扱う際は漏えいリスクも考慮した管理が重要です。

生体認証の仕組みや種類について詳しく知りたい方は、以下の記事も参考にしてください。

顔認証データと個人情報の扱い

顔認証では、撮影した顔画像から目や鼻の位置関係、輪郭などの特徴を抽出し、照合に利用できる顔特徴データを生成します。登録済みの顔情報と照合することで特定の個人を識別できる水準の顔特徴データは、個人識別符号に該当します。

一方、顔写真や防犯カメラの画像そのものが、直ちに個人識別符号になるわけではありません。ただし、画像を見れば特定の人物を識別できる場合は、顔写真やカメラ画像そのものも個人情報に該当します。顔画像と、認証用に生成された顔特徴データは区別して考えましょう。

顔識別機能付きカメラシステムなどを利用する場合は、利用目的をできる限り具体的に特定し、顔識別機能を利用していることも含めて本人に通知または公表する必要があります。導入時は、データの取得方法だけでなく利用目的の表示方法も確認しておくことが重要です。

参考：民間事業者向け カメラと個人情報保護法｜個人情報保護委員会

生体認証システムで扱うデータの注意点

生体認証システムでは、登録時に取得した顔や指紋などの特徴から、照合に用いるテンプレートを生成して保存する場合があります。このテンプレートが特定の個人を識別できる水準の符号であれば、個人識別符号に該当します。

生体認証に関するデータは、パスワードのように漏えい後に簡単に変更できないものが多いため、保存場所や通信経路、アクセス権限などを慎重に設計する必要があります。システムを選ぶ際は、暗号化やアクセス制御、端末内での処理など、生体データを保護するための仕組みも比較しましょう。

ITトレンドでは、最新の製品・サービスを多数比較・掲載しています。まず資料を取り寄せて、さまざまな製品の機能や特徴を比較してみてください。忙しい業務時間内でも、各社に問い合わせる手間なく、たった1回の入力（約60秒）で生体認証の一括資料請求が可能です。浮いた時間で、じっくりと製品を比較検討し進めましょう。

個人識別符号を扱う際の実務上の注意点

個人識別符号を含む情報は個人情報に該当するため、個人情報保護法に沿って適切に取り扱う必要があります。さらに、その情報が個人データに該当する場合は、安全管理措置などの義務も生じます。取得から保管、漏えい時の対応まで、実務上のポイントを確認しましょう。

取得と利用のルール

個人識別符号を含む個人情報を取り扱う際は、利用目的をできる限り具体的に特定し、原則としてその利用目的の範囲内で使用する必要があります。また、個人情報を取得した場合は、法令上の例外に該当する場合を除き、利用目的をあらかじめ公表するか、取得後速やかに本人へ通知または公表します。

利用目的の達成に必要な範囲を超えて個人情報を取り扱う場合は、原則として本人の同意が必要です。生体情報を取得する際は、利用目的や保存期間、利用する部署などを事前に整理し、必要以上のデータを収集しない運用も検討しましょう。

安全管理措置と漏えい時の対応

個人識別符号を含む情報が個人データに該当する場合、個人情報取扱事業者には、漏えい・滅失・毀損を防ぐために必要かつ適切な安全管理措置を講じる義務があります。具体的な対策は、情報の性質や量、漏えいした場合の影響、事業規模などのリスクに応じて決める必要があります。

対策としては、アクセス権限の管理、認証機能、暗号化、操作ログの記録、従業員教育などが考えられます。また、個人データの取り扱いを外部に委託する場合は、委託先で適切な安全管理が行われるよう必要かつ適切な監督も求められます。

個人データの漏えい等が発生し、個人の権利利益を害するおそれが大きい一定の事態に該当する場合は、個人情報保護委員会への報告と本人への通知が必要です。生体認証に利用する情報は容易に変更できないものもあるため、漏えい時の影響を踏まえて対応手順をあらかじめ整備しておきましょう。

参考：個人情報の保護に関する法律についてのガイドライン（通則編）｜個人情報保護委員会

生体認証のリスクや安全に利用するための対策については、以下の記事でも詳しく解説しています。

個人識別符号に関するよくある質問

ここでは、個人識別符号について実務担当者が判断に迷いやすいポイントを整理します。社内で情報の取り扱い方針を検討する際にも参考にしてください。

顔写真は個人識別符号に該当しますか？

顔写真そのものが、直ちに個人識別符号に該当するわけではありません。個人識別符号に該当するのは、顔の特徴を本人認証や照合に利用できる形に変換し、特定の個人を識別できる水準にした符号です。

ただし、顔写真を見れば特定の人物を識別できる場合、その写真は個人情報に該当します。そのため、個人識別符号ではないことを理由に管理が不要になるわけではありません。顔写真と顔認証用の特徴量データを区別し、それぞれ適切に取り扱いましょう。

該当しないものは自由に使ってよいですか？

個人識別符号に該当しない情報であっても、自由に利用できるとは限りません。例えば携帯電話番号やメールアドレスなどは、それ自体が個人識別符号として定められているわけではありませんが、氏名などほかの情報と容易に照合して特定の個人を識別できれば、個人情報に該当する場合があります。

そのため、実務では個人識別符号かどうかだけで判断せず、個人情報に該当するかもあわせて確認することが重要です。取得目的や利用方法、ほかの情報との結びつきまで考慮し、必要な管理を行いましょう。

生体認証システムの導入を検討している方は、以下の記事でおすすめ製品や認証方式を比較できます。

生体情報を安全に扱う仕組みづくり

個人識別符号への理解が深まったら、実際に生体情報を安全に扱える仕組みを整えることが次の課題です。顔や指紋などから生成された認証用データは、漏えい後に容易に変更できない場合があります。そのため、保存場所や通信経路、アクセス権限などを含めたセキュリティ設計が重要です。

ここでは、生体データの安全な取り扱いに配慮した製品の一例を紹介します。

EdgeFACE

イノテック株式会社

資料請求リストに追加

製品詳細ページへ ＞

《EdgeFACE》のPOINT

1. オフィスや工場のDXを推進するエッジ･オンプレ顔認証システム
2. 完全売り切りで1台から導入可能！SDKは無償提供で量産活用可能
3. パスワード忘れ・鍵紛失の心配なし！ICカード書き換え作業も不要

まとめ

個人識別符号とは、その情報単体から特定の個人を識別できる符号のうち、個人情報保護法の施行令や施行規則で定められたものです。本人を識別できる水準に変換された顔や指紋などの生体認証用データのほか、マイナンバーや旅券番号などが該当します。

個人識別符号を含む情報は個人情報として扱われるため、利用目的を明確にし、適切に管理することが重要です。生体認証を導入する際は、認証精度や利便性だけでなく、データの保存方法やアクセス制御などの安全性も含めて製品を比較しましょう。