個人を特定できる情報（PII）のオールインワンガイド

個人を特定できる情報（PII）を理解する

個人を特定できる情報（PII）とは、単独で、または他の情報と組み合わせることで、個人を識別したり連絡したり、あるいはその所在を特定するのに使用できるあらゆるデータのことです。PII の例には、氏名（フルネーム）、社会保障番号、パスポート番号、運転免許証番号、生体データなどが含まれます。

「personally identifiable information（個人を特定できる情報）」という用語は、政府や組織が、無断でデータを利用することによるリスクを認識するようになったことから、1970年代に米国で注目を集めるようになりました。大きな転機の一つは、米国保健・教育・福祉省（US Department of Health, Education, and Welfare）による1973年の報告書で、これは公正な情報慣行（FIPPs）のための原則を示したものです。これにより data privacy 規制、そして後に PII として知られるようになった概念的な枠組みの基盤が築かれました。

技術の進化に伴い、PII の範囲は拡大しました：

• 1980 — OECDの「プライバシー保護および個人データの越境移転に関するガイドライン」により、国際的な文脈で PII が正式に扱われるようになりました。
• 2000年代 — インターネットと電子商取引の台頭により、オンライン上でデータが露出するリスクが注目されるようになりました。
• 2010年代以降 — 欧州連合（EU）の一般データ保護規則（General Data Protection Regulation（GDPR）や、米国の California Consumer Privacy Act（CCPA）が、PII に該当するものの定義を見直し、理解を広げました。
• 今日 — PII には、単なる静的な識別子だけでなく、オンライン上の行動、位置情報（地理的位置）やデバイス識別子といった動的なデータも含まれます。

PII は、ますますつながりが強まる世界においてプライバシー、安全、そして信頼の土台となるため、非常に重要です。企業、政府、オンラインプラットフォームによる個人データの広範な収集と処理により、なりすまし（ID の盗用）、詐欺、そして データ漏えいのリスクが高まります。PII を強力に保護することは、GDPR や CCPA のような法律への規制対応だけでなく、急速な技術進歩の時代において顧客の信頼を維持し、個人の権利を守るためにも不可欠です。

Personally Identifiable Information（個人を特定できる情報）とは何ですか？

情報が次のいずれかの条件を満たす場合、それは PII に該当します：

• 個人の一意な識別— 情報によって、その個人を直接特定できます。たとえば、社会保障番号（Social Security number）やメールアドレスのようなケースです。
• 関連付け可能性— 情報は、他の入手可能なデータと組み合わせることで、たとえば郵便番号・生年月日・性別を組み合わせるように、個人を合理的に特定できる可能性があります。

情報が PII であるかどうかを判断する際は、文脈が非常に重要です：

• データの集約— 単体では PII でない情報も、他のデータセットと組み合わせることで PII になり得ます。 たとえば、IP アドレス単体では PII ではない可能性がありますが、ユーザーアカウントに紐づくと PII になります。
• 目的とアクセス— データに誰がアクセスできるのか、またそれをどのように利用するつもりなのかが関係します。たとえば、機微性の高い職業（法執行など）の人の位置情報は PII とみなされる可能性があります。
• 非識別化と再識別のリスク — 非識別化されたデータであっても、追加のデータソースを使うことで再識別されて、結果として PII としての状態を再び取り戻す可能性があります。

個人を特定できる情報（PII）の種類

PII は、識別可能性の度合いに基づいて、大きく 2 つの主要カテゴリに分類できます。すなわち、直接識別子と間接（または準）識別子です。

直接識別子

追加のデータを必要とせずに、個人を直接かつ一意に特定できる情報です。直接識別子には次のものが含まれます。

• 法的な正式氏名（例：John A. Smith）
• 社会保障番号（SSN）
• パスポート番号
• 運転免許証または州の身分証番号
• 個人の電話番号
• 個人のメールアドレス
• 生体情報（例：指紋、網膜スキャン、顔認識データ）
• クレジットカードまたは銀行口座の番号
• 正面の写真

間接（準）識別子

これらの情報はそれ自体では個人を直接特定しませんが、他のデータと組み合わせることで特定できる場合があります。ここでは、例とともに一般的な間接的識別子の種類をいくつか紹介します：

• 人口統計情報： 生年月日、性別、民族、年齢、または婚姻状況
• 地理情報：住所（郵送先）、郵便番号、生まれた都市、または渡航履歴
• 学歴： 学校名または取得した学位
• 雇用データ：職種（職位）、会社、オフィスの所在地
• 端末情報：IPアドレス、MACアドレス、端末ID（状況および管轄によって異なります）
• 行動情報：購入履歴、閲覧習慣

新たに注目される PII の種類

技術の進歩により、より新しいタイプの情報がますます PII とみなされるようになっています：

• デジタル識別子：広告ID、MACアドレス
• 行動データ： 閲覧履歴、検索クエリ
• 遺伝情報： DNA プロファイル

センシティブな PII と非センシティブな PII

PII はセンシティブまたは非センシティブのいずれにもなり得ます。

センシティブな PII

機微（センシティブ）なPIIとは、開示または侵害された場合に、個人に重大な危害、当惑、金銭的損失、または法的責任を引き起こし得る情報のことです。例には次のものがあります：

• 社会保障番号
• パスポート番号および運転免許証番号
• 銀行口座情報およびクレジットカード情報
• 医療記録（PHIともみなされます）。たとえば、医療システムにおける糖尿病の診断など
• 法的記録（犯罪歴、移民ステータス）
• 生体データ（指紋、網膜スキャン）
• 正面の写真（特定の文脈において）
• 位置情報（GPS 座標、リアルタイム追跡）

非機微 PII

非センシティブ PII とは、一般に公開されている情報、または開示されても深刻な被害につながりにくい情報のことです。例：

• 氏名（他の識別子なし）
• ビジネス連絡先情報（勤務先の電話番号、会社のメールアドレス）
• 役職名または所属企業
• 一般的な人口統計データ（人種、性別：他の識別子と組み合わせない場合）

非機微 PII は単独ではリスクが低いものの、他のデータセットと組み合わせることでリスクにつながる可能性があります（データ集約）。

組織がセンシティブな PII と非センシティブな PII をどのように異なる扱いにするか

個人を識別できる情報（PII）の例

本人確認でよく使われる代表例

業界固有の例（例：医療、金融）

PII かどうかに関するよくある誤解

PII ではないものとは？

すべてのデータが PII とみなされるわけではありません。非 PII（Non-PII）とは、単独では特定の個人を識別するために使用できない情報のことです。ただし場合によっては、非 PII が他のデータポイントと組み合わさることで PII になることがあります。

個人データと PII の違い

• PII は、個人を一意に識別できるデータです。この用語は主に米国の法律およびサイバーセキュリティ分野で使用されます（例：NIST、HIPAA）。
• 個人データ は PII よりも範囲が広いです。GDPR のような法律では、識別可能な個人に関連するあらゆる情報が含まれ、間接的な場合も含まれます（例：デバイス ID、IP アドレス）。

非 PII の例

以下は通常 PII ではありません（ただし、他の識別データと結び付けられている場合は除きます）。

• ブラウザーの種類またはデバイスの型番
• 郵便番号（世帯を特定できるほど具体的でない場合）
• 年齢層
• 性別
• 匿名のアンケート回答
• 匿名化データ
• 集計された分析データ
• 特定の個人にたどり着けないように作られた、ランダムに生成されたユーザーID

非PIIがPIIになるとき

非PIIがPIIに変わるのは、たとえば次の場合です。

• 他のデータと関連付けられている場合。たとえば、郵便番号 + 生年月日 + 性別の組み合わせは、個人を一意に特定できることがよくあります。
• 再特定（再識別）が可能です。匿名化されたデータが、外部情報（ソーシャルメディアや公開記録など）を使って再び匿名性を解除できる場合、それはもはや非PIIではありません。
• データの相関が発生します。クリックストリームのような行動データは匿名に見える場合がありますが、分析によって特定のユーザーを特定できます。

PII はどのように収集・保存されるか

組織は、個人を保護し、GDPR、CCPA、HIPAA などの規制を遵守するために、PII を適切に管理する必要があります。

PII の収集方法

PII はどこに保存されるか

ほとんどの現代的な組織は、AWS、Microsoft Entra、Google Cloud（パブリック、プライベート、またはハイブリッド）などのクラウド環境に PII を保存しています。PII は、SaaS プラットフォーム（CRM、HRIS、ERP）に保存されていることもよくあります。

しかし、いくつかの企業では、機密性の高いワークロードに対して今なおローカルのサーバーやデータベースを使用しており、ローカルとクラウドのストレージを組み合わせたハイブリッド システムも運用しています。

保存場所に関係なく、PII は（保存時と転送中の両方で）暗号化され、適切に保護された形でバックアップされ、定期的に監査される必要があります。

PII 収集における同意と透明性

ユーザー同意

GDPR や CCPA のような法律では、個人データを収集する前に、明確で十分に情報を得た上での同意が必要です。これは次を意味します:

• ユーザーはオプトイン（事前にチェックされたボックスではない）する必要があります。
• 同意は、自由意思に基づき、具体的で、十分な情報に基づくものであり、かつ曖昧であってはなりません。
• 同意の撤回も、同じくらい簡単でなければなりません。

透明性に関する要件

組織は次を提供する必要があります：

• 収集するデータの内容、どのように使用するか、どれくらいの期間保持するか、ならびに第三者との共有の有無について明確に示したプライバシーポリシー
• クッキーバナーや文中の免責事項（インラインのディスクレーマー）など、収集の時点で表示する通知
• ユーザーが自分のデータを確認、修正、削除できる簡単な方法

PII が侵害される仕組み

PII は金融詐欺、なりすまし（ID の盗用）、企業スパイ活動に悪用できるため、サイバー犯罪者にとって格好の標的です。PII が侵害される一般的な手口を理解することで、組織や個人がより適切に保護できるようになります。

よくある脅威の侵入経路

攻撃者は、次の手段を使って PII へアクセスすることがよくあります。

• フィッシング — 偽のメールや Web サイトがユーザーをだまし、ログイン情報（認証情報）や個人情報を開示させます。多くの場合、銀行、雇用主、またはサービス提供事業者からの正当な連絡になりすましています。
• マルウェア — デバイスにインストールされた悪意のあるソフトウェア（例：キーロガー、スパイウェア、ランサムウェア）は、キーストロークを捕捉したり、保存されている認証情報やファイルを流出させたり、将来のアクセスのためのバックドアを開いたりする可能性があります。
• ソーシャルエンジニアリング — 攻撃者は、IT担当者になりすましたり、ソーシャルメディアから得た情報を使って信頼を獲得したり、従業員に説得してシステムへのアクセスを許可させる、または手順（プロトコル）を回避させることで、人を操作します。
• 脆弱なセキュリティ運用 — 攻撃者は、パスワード管理が不十分なこと、未パッチまたは古いソフトウェア、安全でない API やサードパーティのサービス、そして誤って設定されたクラウドストレージ（例：公開された S3 バケット）を悪用して、PII にアクセスすることもできます。

データ侵害と実際のインシデント

データ侵害は、権限のない個人が PII にアクセスしたときに発生します。結果は、侵害を受けた組織と、データが危険にさらされた個人の双方にとって深刻になり得ます。

注目度の高いインシデントをいくつか紹介します：

• Equifax (2017) — この攻撃は 1億4700万人に影響し、Social Security numbers、出生日などがさらされました。
• Facebook (2019) — 安全対策の不十分なクラウドデータベースに保存されていたサードパーティーアプリを通じて、5億4000万件のユーザーデータが露出しました。
• Marriott (2018–2020) — ハッカーは、パスポート番号や予約内容などを含む5億人分のゲストデータを盗みました。

攻撃者が盗み取った PII を悪用する方法

盗まれた PII は闇市場で非常に高い価値を持ち、さまざまな方法で悪用できます。少量の PII（例：氏名、生年月日、または Social Security number）であっても、これらの行為を行うのに十分なことがよくあります。

なりすまし（Identity Theft）と詐欺（Fraud）

盗まれた PII により攻撃者は被害者になりすまし、次のような詐欺行為を行うことができます。

• クレジットカードまたは銀行口座の開設
• ローンの申請・借り入れ
• 不正な購入の実行
• 払い戻しを得るために虚偽の確定申告を行う

クレデンシャル・スタッフィング & アカウント乗っ取り

盗まれた PII にユーザー名とパスワードが含まれている場合、攻撃者は自動化スクリプトを実行して、複数のプラットフォーム（銀行、メール、EC）でこれらの認証情報を試すことができます。パスワードの使い回しにより、結果としてアカウントの完全な乗っ取りにつながることが多く、機密データや保存された資金へのアクセスが可能になります。

スピアフィッシングとソーシャルエンジニアリング

個人に関する詳細な PII を入手していると、攻撃者は将来に向けてその人物をより効果的に標的にできます。雇用主や最近の購入などの情報について正確な詳細をもとに、信頼できる連絡先やサービス提供者を装って、被害者に対してさらなる情報の開示や金銭取引を行わせるよう騙すことができます。

医療および保険の不正

盗まれた医療記録や保険情報は、次の目的に使用できます。

• 虚偽の医療請求を行う
• 無許可の治療や処方を受ける
• 誰かの医療IDを盗むと、患者ケアにおける危険な誤りにつながる可能性があります

恐喝（ブラックメール）または脅迫的な金銭要求

非常に機微な PII（たとえば個人的なメッセージや健康履歴）が、身代金を支払わない限り公に暴露すると脅すために悪用されるほか、評判を損なうキャンペーンの標的として個人を狙うためにも使われる場合があります。

ダークウェブでの販売とデータの転売

攻撃者がそれを自分で使うのではなく、PIIを販売することもあります。「Fullz」パッケージ（完全な身元プロファイル）は高値で取引されることがあり、健康記録、パスポート、クレジットカード情報はダークウェブのマーケットプレイスで特に高い価値で売れる傾向があります。

長期的な影響

盗まれたクレジットカードとは異なり、PII は常に簡単に差し替えられるわけではありません。被害者は次のような問題に直面する可能性があります：

• 何年にもわたる監視と法的紛争
• 犯罪者間でデータが流通することで、繰り返し狙われる
• 記録が侵害されているため、信用や就職先の確保が難しくなる

個人を特定できる情報（PII）を規制する規則

PII（個人を特定できる情報）を規制する規則を、米国の法律、国際的な枠組み、そして世界各国での定義や保護の違いを含めて簡単に見ていきましょう。

米国の法律

国際的な枠組み

国や地域による PII の定義および保護の違い

個人を特定できる情報の保護

PII の保護 データ侵害、なりすまし（ID 偽装）、サイバー攻撃による脅威が増加しているため、今日のデジタル時代において非常に重要です。

個人向けのベストプラクティス

企業のデータ取扱いプロトコル

攻撃対象領域を減らす

PII（個人を特定できる情報）を誤って扱った場合の影響

PII（個人を特定できる情報）を誤って取り扱うと、組織と個人の双方に深刻な結果をもたらす可能性があります。

PII（個人を特定できる情報）を誤って扱った組織への影響

罰金および規制上の制裁

データ保護に関する法律に準拠できていない組織は、相当額の罰金を科される可能性があります。例として、以下があります:

• GDPR (EU) — 最大2,000万ユーロ、または世界の年間売上高の4%（いずれか高い方）までの罰金。例には British Airways（£20Mの罰金）や Marriott International（£18.4Mの罰金）があります。
• CCPA (California) — 意図しない違反1件あたり最大$2,500、意図的な違反1件あたり最大$7,500の民事罰金。私人の訴権（private right of action）により、消費者はデータ侵害について訴えることができます。
• HIPAA（米国の医療分野） — 懲⾦は違反1件あたり$100〜$50,000、違反の種類ごとに年間最大$1.5 millionまでです。

集団訴訟（クラスアクション）と和解

データ侵害の被害者は、集団訴訟（クラスアクション）を起こすことがよくあります。和解となると、支払い（補償金）、弁護士費用、運用の変更などで数百万ドルのコストがかかる場合があります。

復旧コスト

侵害（データ侵害）後の費用には、インシデント対応、フォレンジック、公的広報、顧客への通知、クレジット監視が含まれます。IBMの「Cost of a Data Breach Report 2024」によると、侵害1件あたりの平均コストは 445万ドルです。

評判の毀損と顧客の信頼の喪失

• ブランドの毀損 — インシデント（侵害）のニュースはすぐに拡散し、企業の対外的なイメージを傷つけます。このような状況では、信頼や好意（goodwill）の喪失が回復に何年もかかることもあれば、単に取り返しのつかない場合もあります。
• 顧客の離脱 — 顧客は、より安全だと認識される競合他社に乗り換える可能性があります。金融、ヘルスケア、EC（電子商取引）などの業界の事業者は、特に離脱（churn）の影響を受けやすいです。
• 競争上の優位性の喪失 — 漏えいを受けた組織は、営業秘密や専有情報を失う可能性があり、または業務が混乱するおそれがあります。
• 市場価値の下落 — 上場企業は、侵害の発表後に株価が下落することがよくあります。過失が関係している場合は、株主による訴訟が続く可能性もあります。

PII（個人を特定できる情報）が不適切に取り扱われた場合の個人への影響

• なりすまし（ID）詐欺 — 犯罪者は盗まれた PII を使って銀行口座を開設したり、ローンを組んだり、詐欺的な確定申告を行ったりできます。
• 金融詐欺 — 盗まれたクレジットカードや銀行の情報により、不正な取引、資金の損失、信用スコアの悪化につながる可能性があります。
• 感情的および心理的な苦痛 — 被害者は、さらなる被害に遭うのではないかという不安、ストレス、恐怖を抱えることがあります。さらに、アイデンティティを再構築することは、長く、もどかしく、かつ侵入的なプロセスになり得ます。
• 標的型の詐欺とフィッシング — 漏えいした情報は、検知しにくい高度にパーソナライズされた詐欺に悪用される可能性があります。
• 雇用または社会的な影響 — 機微な個人情報が露出すると、仕事上の当惑や社会的なスティグマ（烙印）につながる可能性があります。

事例研究：大規模な PII 漏えい

Equifax の情報漏えい（2017年）

米国最大級の信用情報機関の1つである Equifax は、大規模なサイバーセキュリティインシデントに見舞われ、米国内のおよそ 1億4,790万人分の個人の機微な情報が流出しました——これは同国の人口のほぼ半分に相当します。さらに、カナダや英国の人々にも影響が及びました。この事件は、歴史上でも最大級の機微データ漏えいとして際立っています。

今回の侵害は、2017年5月13日から7月30日の間に発生しました。76日間にわたり検知されず、その間に攻撃者は大量のデータを持ち出すことができました。Equifax は 2017年9月7日にこれを公表しました。攻撃者は、オープンソースのWebアプリケーションフレームワークである Apache Struts に存在する脆弱性（CVE-2017-5638）を悪用しました。この脆弱性は 2017年3月に公表され、パッチも当てられていましたが、Equifax は時間内にパッチを適用できませんでした。後続の報告では、一部のシステムに適切な暗号化やセキュリティプロトコルが欠けていたことが示されています。

侵害されたデータには、氏名、社会保障番号（Social Security numbers）、生年月日、住所、クレジットカード情報（約20万9,000人分）、および個人情報を含む紛争書類（18万2,000人分）が含まれていました。全体として、この侵害はなりすまし（アイデンティティ盗難）や詐欺の重大なリスクをもたらしました。

評判（イメージ）面での損失はさておき、Equifax は今回の侵害に関連して、法的和解金、顧客サポート、セキュリティ改善などを含む 14億ドルの費用を負担しました。和解には、影響を受けた個人に対する無料のクレジット監視と、アイデンティティ盗難の保護も含まれていました。Equifax はサイバーセキュリティ基盤を刷新するために投資せざるを得ず、より強力な暗号化、多要素認証、リアルタイムの脅威監視を導入しました。法的には、規制当局および民間組織から複数の訴訟と調査を受けることになりました。

Facebook—Cambridge Analytica スキャンダル

Facebook—Cambridge Analyticaのスキャンダルは、2018年初頭に明るみに出ました。そこでは、何百万ものFacebookユーザーの個人データが同意なく収集され、政治的な広告目的に利用されていたことが明らかになったのです。この問題の中心は、無害そうに見える性格診断クイズを通じてデータを集めていた第三者アプリにありました。アプリと直接やり取りしたのは約270,000人のユーザーにとどまりましたが、当時のFacebookのAPIにより、そのアプリはユーザー本人のデータだけでなく友人のデータにもアクセスできました。その結果、最終的に8,700万人超のユーザーの情報が損なわれる事態につながりました。こうして得られたデータは、その後、政治コンサルティング会社であるCambridge Analyticaに渡され、同社はプロフィールを用いて心理特性（サイコグラフィック）モデルを構築し、特に2016年の米大統領選挙やBrexit（ブレグジット）キャンペーンの期間中に、非常にパーソナライズされた政治メッセージでユーザーをターゲティングするために活用しました。

Facebookは世界中の各国政府や規制当局から厳しい調査を受け、その結果、CEOのマーク・ザッカーバーグが米国議会および欧州議会で証言することになりました。会社の株価は大きく下落し、評判にも重大な打撃が与えられました。さらに、規制上の措置も続きました。たとえば2019年には、米国連邦取引委員会（FTC）によって50億ドルの罰金が科されており、当時のプライバシー侵害に対する罰金としては過去最大でした。

注目を集めたインシデントから学ぶ教訓

Equifax（エクイファックス）の侵害事件やFacebook—Cambridge Analyticaのスキャンダルのような、注目度の高いデータプライバシー事故から得られた重要な教訓を紹介します。

• データセキュリティとパッチ管理を最優先にしてください。 組織は、最新の脆弱性管理プログラムを維持し、可能な限りパッチ配布を自動化する必要があります。
• 透明でタイムリーなコミュニケーションは欠かせません。 十分に準備されたインシデント対応およびコミュニケーション計画があると、信頼を維持でき、危機の際にも規制順守を確実にできます。
• どんなデータを持っているのか、そしてその理由は何かを把握しましょう。 データの最小化と保管（保持）に関する原則を採用してください。必要なものだけを収集し、その目的と法的根拠を明確に定義します。
• アクセス制御と社内の監督を強化してください。 ロールベースのアクセス制御（RBAC）を導入し、最小権限の原則を徹底し、データアクセスをリアルタイムで監視します。
• ユーザーの同意は、十分に理解できる形で、かつ細分化された形で行われる必要があります。 データの収集および共有について、明確で具体的なオプトイン（事前の同意）を確実に取得してください。プライバシーポリシーの中に埋もれた分かりにくい用語の使用は避けましょう。
• 規制の遵守は、任意ではありません。 GDPR、CCPA およびその他のデータ保護に関する法律に違反すると、大規模な罰金や訴訟につながる可能性があります。プライバシーの遵守を、チェックボックスの作業ではなく、事業の中核機能として扱ってください。データ戦略の策定には、プライバシー責任者、法務担当（法律顧問）、IT を関与させましょう。
• システムを定期的にテストし、監査してください。 多くの組織は、インシデントが発生してからようやく弱点に気づきます。攻撃者より先に脆弱性を特定するために、定期的なセキュリティ監査、ペネトレーションテスト、リスク評価を実施することがベストプラクティスです。
• 信頼は脆く、継続的に獲得しなければなりません。 一度失ってしまうと、信頼 — 顧客、パートナー、規制当局いずれからのものでも — を取り戻すのは非常に困難です。プライバシー・バイ・デザイン、透明性、倫理的なデータ利用を示し、長期的な信頼性を構築しましょう。
• プライバシー教育と文化に投資しましょう。 人為的なミスは、データの取り扱い不備において依然として大きな要因です。定期的なトレーニング、啓発プログラム、リーダーシップの関与を通じて、プライバシーを最優先する文化を育むための取り組みを行ってください。

職場における PII とベンダー契約

職場およびベンダー契約における PII の管理について、第三者との交渉の場で PII を特定する方法、従業員の責任、ベンダーのリスク管理に重点を置いた詳細なガイドです。

第三者との交渉の場で PII を特定する

ベンダーのリスク評価とコンプライアンス手順

PII と PHI の違い：何が異なるの？

PII と保護された健康情報（PHI）は、いずれもデータのプライバシーとセキュリティにおける基本的な概念です。以下は、その2つの違いを見分けるのに役立ちます。

個人を識別できる情報（Personally Identifiable Information）

PII（Personally Identifiable Information：個人を識別できる情報）とは、氏名、社会保障番号、メールアドレス、電話番号、パスポート番号、運転免許証番号などのように、直接または間接的に特定の個人を識別・連絡・所在確認するために使えるあらゆる情報です。PIIは、金融、教育、小売など幅広い分野にわたって適用されます。

保護された健康情報（Protected Health Information）

PHI（Protected Health Information：保護された健康情報）は、PIIのうち、個人の健康状態、医療行為、または医療サービスの支払いに特に関係する情報の一部です。PHIは、米国では HIPAA に基づいて定義され、規制されています。PHIの例には次が含まれます:

• 医療記録
• 検査結果
• 保険情報
• 医師のメモ
• 予約スケジュール

PII と PHI の重複

PHIはPIIの一部ですが、すべてのPIIがPHIというわけではありません。たとえば名前はPIIですが、名前に医療診断や保険番号が組み合わさるとPHIになります。

法的な区別

双方が適用されるユースケース

• ユーザー名やメールアドレス（PII）と、予約記録や処方箋（PHI）を保存する遠隔医療アプリ
• ログイン情報（資格情報）や連絡先情報（PII）を収集し、さらに請求履歴や治療内容（PHI）も扱う健康保険ポータル
• インセンティブ追跡のための人口統計データ（PII）と、健康リスク評価および検査結果（PHI）を収集する従業員ウェルネスプログラム
• 同意書および連絡先情報（PII）を使用し、さらに患者の聞き取りと検査から得られる健康データ（PHI）も扱う研究・臨床試験

PIIの未来：トレンドと新たな課題

PIIに関する注目すべきトレンドと課題をいくつか紹介します。

AI とビッグデータの影響

AI とビッグデータ分析は PII 管理を変革していますが、同時にリスクも増幅させています。主な懸念事項には次のようなものがあります:

• 急増するデータ量 — AI システムは大量のデータセットを学習・利用の材料としており、そこにはセンシティブな個人データが含まれていることがよくあります。匿名化されたデータであっても、十分な補助情報があれば再識別される可能性があります。
• プロファイリングと推論 — AI は一見無害に見えるデータから、センシティブな情報（たとえば政治的見解、健康状態）を推論し、「derived PII（派生PII）」という新たなカテゴリを生み出す可能性があります。
• 自動化された意思決定 — AI モデルは、雇用、融資、医療などの分野における重要な判断に影響を与えます。懸念点には、公平性と説明可能性があります。
• データ最小化の課題 — AI は大規模なデータセットでこそ活躍しますが、それは「必要なデータだけを収集する」という原則と矛盾します。

主な課題は、革新性とプライバシーのバランスを取ること、そして PII（個人を識別できる情報）を含む AI 主導の意思決定において適切な監督を確保することです。

生体認証用の識別子の台頭

生体データ（顔認識、虹彩スキャン、指紋、声紋、DNA）は、認証、監視、パーソナライゼーションの用途でますます使われるようになっています。たとえば、このデータはスマートフォンのセキュリティ、空港の入出港手続き（クリアランス）、職場へのアクセス、ヘルスケアで活用されています。

リスクには次が含まれます：

• 取り返しのつかなさ — パスワードと違い、万一侵害（漏えい）された場合に顔や指紋を変更することはできません。
• 大規模な監視 — 政府や企業による顔認識の利用は、市民の自由に関する懸念を引き起こしました。
• データ侵害 — 生体認証データは価値が高く、いったん漏えいすると取り返しがつかないため、格好の標的になります。

重要な課題は、生体情報を倫理的に使用・保存するための法的および技術的なセーフガードを整備することです。

統一されたグローバルなプライバシー・フレームワークの要請

多くの国（加えて米国の各州）でそれぞれ独自のプライバシー法が整備されており、複雑さが増しています：

• 整合性のない法律は、国際的なデータ転送とグローバルなビジネスを妨げます。
• 多国籍企業は、コストのかかる重複したコンプライアンス対応に直面しています。

これらの懸念に対処するための枠組みの草案を作成する取り組みが進められています。内容は次のとおりです:

• 標準化に向けた OECD と ISO の取り組み
• デジタルプライバシーに関する国連の提案条約
• 「Global Privacy Accord（グローバル・プライバシー協定）」や国際的なデータ保護条約に関する議論

課題は、国家主権や文化の違いを尊重しながら、プライバシーの権利と執行メカニズムを世界規模で整合させることです。

これから

注目すべき新たなトレンド

• プライバシー・バイ・デザイン（Privacy by design） — 製品開発において、最初からプライバシーを組み込むこと
• ゼロトラスト アーキテクチャ — 従来の境界型セキュリティを超えて、アイデンティティ中心のモデルへ
• 合成データ — AIが生成したデータセットを使って、実際の PII を使わずにモデルを学習する
• 分散型アイデンティティ（DID） — ブロックチェーンなどの技術を用いて、ユーザーが自分のアイデンティティを制御できるようにする

主な課題

• 高度に接続された世界で信頼を維持する
• 革新と個人の権利のバランスを取る
• 監視資本主義とデジタル独裁主義を防ぐ

Netwrix Data Classification について

PIIを特定し保護することは、高額な侵害を回避し、厳格な データセキュリティ規制（GDPRやHIPAAなど）を確実に遵守するうえで不可欠です。とはいえ、PIIはしばしばさまざまなデータ環境に分散しているため、手動での識別は難しく、かつ誤りが起きやすくなります。

Netwrix Data Classification は、組織が PII を含む機密データを正確に特定、分類し、保護できるよう支援します。このプロセスにより、データに関連するリスクを低減し、コンプライアンスを確保し、運用効率を向上させることができます。PII に関連する主な機能には以下が含まれます：

• 自動検出 — 従来から用意された、またはカスタマイズ可能なルールを使用して、オンプレミスのファイル共有、SharePoint、クラウドストレージなどに存在するさまざまな種類の PII を検出します。
• データ分類 — 機密性とコンテンツの種類（たとえば財務データ、医療データ）に基づいてファイルにタグを付けることで、リスクに応じて保護の取り組みを優先順位付けしやすくします。
• 規制マッピング  — PII を法的要件に対応付け、監査やレポート作成を効率化することで、GDPR、CCPA、HIPAA などの規制へのコンプライアンスを支援します。
• リスク低減 — 過度に露出した、または適切に管理されていない PII（例：パブリックフォルダーに保存されたデータ、広く共有されているデータ）を特定し、Netwrix Auditor およびその他の DLP/IRM ソリューションと連携することで是正を支援します。
• データ主体によるアクセス要求（DSARs）のプロセス — 加速 DSAR 複数のリポジトリにまたがる、特定個人に関連するすべての PII をすばやく特定することで、DSAR の対応を効率化します。

よくある質問

個人を特定できる情報（PII）の最適な定義とは何ですか？

PII（個人を特定できる情報）とは、個人の身元を明らかにし得るデータのことです。以下の定義は、米国の国立標準技術研究所（NIST）などのプライバシーに関するフレームワークや、GDPR や CCPA のような国際的な規制によって広く受け入れられていますが、用語はわずかに異なる場合があります：

直接または間接を問わず、特定の個人を識別したり、連絡を取ったり、位置を特定したりするために使用できるあらゆる情報。

PII の例にはどのようなものがありますか？

PII の一般的な例には次のようなものがあります:

• 氏名（Full Name）：Jane Smith、Ahmed Khan
• 政府発行のID（Government IDs）：社会保障番号（SSN）、パスポート番号、運転免許証のスキャン
• 連絡先（Contact details）：メールアドレス、電話番号、郵送先住所
• 生体データ：指紋、顔認識、網膜スキャン
• 金融情報：クレジットカード番号、銀行口座の詳細
• デジタル識別子：国民ID、納税者ID番号、学生ID

PIIには2種類あるのですが、それは何ですか？

• 直接識別子 は、それだけで個人を一意に特定できます。例には、氏名（フルネーム）、パスポート番号、電話番号、クレジットカード番号などがあります。
• 間接識別子 単独で使用しても個人を特定できない一方、他のデータと組み合わせると特定できる場合があります。間接識別子の例には、人口統計情報、雇用データ、デバイス情報などがあります。

詳細は「Personally Identifiable Information の種類」セクションを参照してください。

PII（個人を特定できる情報）を保護する法律にはどのようなものがありますか？

PII（個人を特定できる情報）を保護する規制は国や業界によって異なりますが、いずれも共通の目標は、個人が自分の個人データをコントロールできるようにし、組織がPIIを責任をもって取り扱うことです。ここでは、よく知られている法律の例を紹介します。

詳細は「Personally Identifiable Information を規定する規制」セクションを参照してください。

非機微（非センシティブ）データは PII になり得ますか？

はい。個人を特定、所在確認、または連絡可能にする形で、他のデータと組み合わせられる場合、非機微（非センシティブ）データも PII になり得ます。たとえば、郵便番号単体は PII ではありませんが、生年月日や性別と組み合わせることで、その人を一意に特定できる可能性があります。

個人を識別できる情報（PII）を理解する

個人を識別できる情報（PII）とは、単独で、または他の情報と組み合わせて、個人を特定したり連絡したり、所在を確認したりするために使用できるあらゆるデータのことです。PII の例には、氏名、社会保障番号、パスポート番号、運転免許証番号、バイオメトリクスデータ（生体データ）などがあります。

「personally identifiable information（個人を識別できる情報）」という用語は、政府や組織が、無許可のデータ利用に伴うリスクを認識するようになったことを背景に、1970 年代の米国で注目されるようになりました。画期的な出来事の一つが、米国の保健・教育・福祉省（US Department of Health, Education, and Welfare）による 1973 年の報告書です。この報告書は、公正な情報取扱い（FIPPs）に関する原則を示していました。これにより データ・プライバシー の規制、そして PII として知られるようになった概念的な枠組みが形作られる土台となりました。

技術の進化に伴い、PII の範囲は拡大しました：

• 1980年 — OECDの「プライバシーの保護および個人データの越境移転に関するガイドライン」が、国際的な文脈でPIIを正式に扱いました。
• 2000年代 — インターネットと電子商取引の台頭により、オンライン上でのデータ露出リスクが注目されました。
• 2010年代以降 — 欧州連合（EU）における一般データ保護規則（GDPR ）や、米国のカリフォルニア州消費者プライバシー法（CCPA）が、PII を構成するものの理解を再定義し、さらに広げました。
• 現在 — PII は、固定的な識別子だけでなく、オンラインでの行動、ジオロケーション、デバイス識別子などの動的なデータも含みます。

PII は、ますますつながりが強まる世界において、プライバシー、安全、そして信頼を支えるため、非常に重要です。企業、政府、そしてオンライン プラットフォームによる個人データの広範な収集と処理は、ID 詐欺、詐欺行為、 データ侵害 のリスクを高めます。PII を強力に保護することは、GDPR や CCPA のような法律に対する規制順守だけでなく、技術の進歩が急速に進む時代において顧客の信頼を維持し、個人の権利を守るためにも欠かせません。