PII（個人を特定できる情報）とは？piiデータの定義・種類と個人情報の違い

PII（ピーアイアイ）は「Personally Identifiable Information」の略で、氏名やマイナンバーのように、単体または他の情報と組み合わせることで特定の個人を識別できる情報を指します。クラウドやSaaSで顧客データを扱う場面が増え、どこまでが保護すべきpiiデータなのかを線引きできないと、漏洩時の被害と法的責任が大きくなります。この記事では、PIIの定義と具体例、日本の個人情報保護法やGDPR・CCPAとの違い、企業が取るべき安全な取り扱いまでを整理します。

まとめ：piiデータの要点

• PIIは、単体で個人を識別できる情報だけでなく、他情報と「連結できる（linked or linkable）」情報も含む（NIST SP 800-122）。
• 氏名・マイナンバーなど単体で特定できる直接識別子と、生年月日・郵便番号など組み合わせで特定できる間接識別子（準識別子）に分かれる。
• 日本の法制度では「個人情報」「個人識別符号」「要配慮個人情報」「特定個人情報（マイナンバーを含む）」という区分でPII相当を扱う。
• GDPRの「個人データ」やCCPA/CPRAの「personal information」はPIIより広く、IPアドレスやCookieも保護対象になり得る。
• 実務では、収集の最小化・アクセス制御・暗号化・仮名化／匿名化・保持期間の管理を組み合わせて守る。

以下で、定義・種類・法規制・対策の順に具体的に見ていきます。

PII（個人を特定できる情報）とは：定義・読み方・piiデータの範囲

PIIの読み方は「ピーアイアイ」で、英語表記は Personally Identifiable Information です。米国立標準技術研究所のガイドライン NIST SP 800-122 は、PIIを「単体で、または特定の個人に連結できる（linked or linkable）他の情報と組み合わせることで、個人の身元を識別・追跡できる情報」と定義しています。

ポイントは、氏名や識別番号のようにそれ単体で個人を特定できる情報だけがPIIではない、という点です。単体では個人を特定できない情報でも、他のデータと突き合わせれば特定につながるものはPIIに含まれます。piiデータという言い方は、こうしたPIIをシステムで扱う「データ」として捉えた表現で、意味するところはPIIと同じです。データベースやログに含まれる個人特定可能なレコードが対象になります。

PIIの具体例と種類：直接識別子・間接識別子・機微情報

PIIは、識別力の強さで大きく2種類に分けると整理しやすくなります。加えて、漏洩時の被害が特に大きい機微な情報は別枠で扱います。

直接識別子：単体で個人を特定できる情報

それ単体で特定の個人にたどり着ける情報です。氏名、マイナンバー、パスポート番号、運転免許証番号、メールアドレス、電話番号、指紋・顔・虹彩などの生体データが該当します。これらは多くの場合1件の値だけで本人に結び付くため、漏洩すると即座になりすましや不正利用に使われます。

間接識別子（準識別子）：組み合わせで個人を特定できる情報

単体では多数の人に当てはまるものの、複数を掛け合わせると個人が絞り込める情報です。生年月日、郵便番号、性別、職業、勤務先などが該当します。研究者ラタニヤ・スウィーニーの分析では、「生年月日・郵便番号・性別」の3項目だけで米国人口の約87%が一意に特定できたと報告されています。匿名化したつもりのデータでも、準識別子が残っていれば再識別されるリスクがある、という点が実務上の落とし穴です。

機微なPII：漏洩被害が大きい情報

健康・病歴、思想・信条、人種、性的指向、金融口座やクレジットカード番号などは、漏洩時に差別や金銭被害へ直結する機微なPII（sensitive PII）です。日本の個人情報保護法では、このうち本人差別につながり得るものを「要配慮個人情報」と定め、取得に原則として本人同意を求めています。機微なPIIは、他のPIIより高い暗号化・アクセス制御の水準で守るのが原則です。

PIIと個人情報の違い：個人情報保護法・個人識別符号・特定個人情報

「PII」と日本の「個人情報」は近い概念ですが、由来と枠組みが違います。PIIは米国の実務・標準に由来する用語で、日本で法的な義務がかかるのは個人情報保護法上の「個人情報」です。日本国内でpiiデータを扱うなら、まず個人情報保護法の区分に当てはめて考えます。詳しくは個人情報保護法とは？その定義と基本的な概念を解説で確認できます。

個人情報：生存する個人を特定できる情報

個人情報保護法上の「個人情報」は、生存する個人に関する情報で、氏名・生年月日などにより特定の個人を識別できるもの、または個人識別符号を含むものを指します。PIIの考え方と重なりますが、「生存する個人」に限られる点や、後述の個人識別符号を法律で列挙している点が特徴です。

個人識別符号：単体で個人情報となる番号・符号

個人識別符号は、それ単体で特定の個人を識別できると政令で定められた符号です。マイナンバー、運転免許証番号、パスポート番号、基礎年金番号のほか、指紋データや顔認識データなど身体の特徴を変換した符号が含まれます。これらを含む情報は、他の情報と照合しなくても個人情報として扱われます。

特定個人情報：マイナンバーを含むより厳格な区分

特定個人情報は、マイナンバー（個人番号）を含む個人情報を指し、マイナンバー法（番号法）で通常の個人情報より厳しく規制されます。利用目的が社会保障・税・災害対策などに限定され、本人同意があっても目的外の収集・保管が禁じられる点が、一般の個人情報と大きく異なります。従業員のマイナンバーを預かる企業は、この区分を混同しないことが重要です。

PIIと国際規制：GDPRとCCPAでのpiiデータの扱い

海外の利用者データを扱う場合、PIIより広い「個人データ」「personal information」という概念に向き合う必要があります。日本の感覚で「これは個人情報ではない」と判断すると、GDPRやCCPAでは保護対象に該当することがあります。

GDPR：IPアドレスやCookieも個人データ

EUのGDPR（一般データ保護規則）は、識別された、または識別され得る自然人に関する情報を広く「個人データ」とします。前文（Recital）30は、IPアドレスやCookie識別子などのオンライン識別子も、他の情報と組み合わせて個人を識別し得る場合は個人データに当たると明示しています。PIIの発想では見落としがちなIPアドレスやCookieが規制対象になる点が、GDPR対応の要注意ポイントです。GDPRの全体像はGDPRの概要とその背景について詳しく説明で整理しています。

CCPA／CPRA：米カリフォルニアの広い「個人情報」

米カリフォルニア州のCCPA（およびそれを強化したCPRA）は、消費者や世帯に結び付く情報を「personal information」として広く定義し、デバイスID・IPアドレス・Cookie・閲覧履歴なども含めます。GDPRと同様にPIIより対象が広く、執行はカリフォルニア州プライバシー保護局（CPPA）と州司法長官が担います。米国内向けサービスでも、州法によって保護すべきpiiデータの範囲が変わる点を押さえておく必要があります。

piiデータのリスクと安全な取り扱い：漏洩対策と管理体制

PIIは「集めたら守る」まで含めて初めて適切に扱ったことになります。リスクを理解したうえで、収集から廃棄までのライフサイクルで対策を組みます。

漏洩リスク：なりすまし・不正利用・法的責任

PIIが漏洩すると、なりすましによる不正ログインやクレジットカードの不正利用、フィッシングの標的化といった二次被害が起きます。個人情報保護法では、要配慮個人情報の漏えい、不正の目的によるおそれ、または1,000人を超える漏えいなどが起きた場合に、個人情報保護委員会への報告（速報は速やかに、確報は原則30日以内）と本人への通知が義務づけられます。加えて損害賠償や信用の失墜という負担も生じます。報告義務の要件は法改正で見直されており、最新の対応は個人情報保護法改正とは？2026年成立の令和8年改正で企業対応はこう変わるで確認できます。被害の大きさは件数だけでなく、漏れたPIIの機微度で決まります。

取り扱いの実務：最小化・暗号化・仮名化／匿名化

基本は、必要以上のPIIを集めない「収集の最小化」です。そのうえで、保存時・通信時の暗号化、役割に応じたアクセス制御、保持期間を過ぎたデータの確実な削除を組み合わせます。分析でPIIをそのまま使わずに済むよう、氏名などを別IDに置き換える仮名化や、個人を特定できないように加工する匿名化を使い分けます。ただし前述のとおり、準識別子が残ると再識別される恐れがあるため、匿名化は加工の十分性まで検証します。

管理体制：認証・PII管理者と処理者・報告体制

技術的対策だけでなく、組織としての管理体制も問われます。ISMS（ISO/IEC 27001）やプライバシーマークといった認証は、PII保護の仕組みを社外に示す手段になります。ISO/IEC 27701では、PIIの目的や手段を決める「PII管理者」と、委託を受けて処理する「PII処理者」の役割を分けて管理します。認証取得の判断基準はPマーク（プライバシーマーク）とISMSの違いが参考になります。あわせて、漏えいを検知したら速やかに報告・通知できる体制を平時から整えておきます。

よくある質問

PIIの読み方は何ですか？

「ピーアイアイ」と読み、Personally Identifiable Information（個人を特定できる情報）の略です。piiデータという場合も同じPIIを指し、システムで扱うデータの観点を強調した言い方です。

PIIと個人情報は同じですか？

ほぼ重なりますが同一ではありません。PIIは米国の実務・標準に由来する用語で、日本で法的義務がかかるのは個人情報保護法上の「個人情報」です。国内でpiiデータを扱う際は、個人情報・個人識別符号・特定個人情報といった法律上の区分で判断します。

IPアドレスはPIIに含まれますか？

単体では個人を特定しにくいものの、他の情報と組み合わせれば特定につながるため、扱いは規制によって異なります。GDPRはIPアドレスやCookieをオンライン識別子として個人データに含め得ると明示しており、EU利用者のデータでは保護対象として扱うのが安全です。

特定個人情報とは何ですか？

マイナンバー（個人番号）を含む個人情報のことです。マイナンバー法で利用目的が社会保障・税・災害対策などに限定され、本人同意があっても目的外利用ができないなど、一般の個人情報より厳しく規制されます。

piiデータを安全に扱うにはどうすればよいですか？

必要以上に集めない収集の最小化を前提に、暗号化・アクセス制御・保持期間管理を組み合わせます。分析では仮名化や匿名化でPIIを直接使わない設計にし、準識別子による再識別が起きないかまで検証します。組織面ではISMSやプライバシーマークで管理体制を整え、漏えい時の報告・通知フローを用意しておきます。

関連記事

• 個人情報保護法とは？その定義と基本的な概念を解説
• GDPRの概要とその背景について詳しく説明
• 個人情報保護法改正とは？2026年成立の令和8年改正で企業対応はこう変わる
• Pマーク（プライバシーマーク）とISMSの違い