個人情報かどうかは、照合で誰かに届くかで決まる

アプリが毎日書き出すログのどれが「個人情報」なのか。条文の柱書から読みます。

この法律において「個人情報」とは、生存する個人に関する情報であって、次の各号のいずれかに該当するものをいう。

第1号は、氏名や生年月日などの記述等で特定の個人を識別できるもの。その末尾に括弧書きが付きます。

（他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなるものを含む。）

第2号は「個人識別符号が含まれるもの」です。個人識別符号(第2条第2項)は号の要件に当たる符号のうち 「政令で定めるもの」 に限られます。通則編が転記する政令第1条の列挙は身体の特徴の変換符号・旅券の番号・基礎年金番号・免許証の番号・住民票コード等で、自社の会員番号が一般にここに入るわけではありません。

つまり線は、情報単体に名前があるかではなく、他の情報と容易に照合して特定の個人を識別できるか で引かれています。通則編は「個人に関する情報」について「暗号化等によって秘匿化されているかどうかを問わない」とも書きます。

どちらの号にも当たらなければ無関係、ではありません。第2条第7項です。

この法律において「個人関連情報」とは、生存する個人に関する情報であって、個人情報、仮名加工情報及び匿名加工情報のいずれにも該当しないものをいう。

個人情報に当たらないことは、個人に関する情報でないことを意味しません。

EU の GDPR も第4条第1項で identified or identifiable natural person に関する情報と定義し、識別子の例に an online identifier を挙げます。前文(26)は識別の手段を either by the controller or by another person まで数えます。他の事業者への照会を要する場合を一般に「容易に照合」できない例とする通則編の注(※4)とは、書き方が違います。どちらの法が適用されるかは扱いません。