金融個人情報保護オフィサー2級 個人情報保護法の体系と定義 練習問題 第18問: X銀行は、ATMで手のひらの静脈による本人認証を導入し、顧客の静脈の形状から抽出した特徴のデータを登録している。この登録データに関する記述として、最も適切なもの

「手のひらの静脈の形状を変換した符号で、規則の基準に適合するものは個人識別符号に当たり、それだけで個人情報となる」が適切です。個人情報保護法第2条第2項第1号は、身体の一部の特徴を電子計算機で使うために変換した符号を個人識別符号とし、施行令第1条第1号ヘは、手のひら・手の甲・指の皮下の静脈の分岐と端点で決まる静脈の形状を掲げています。

施行規則第2条は、特定の個人を識別できる水準が確保されるよう変換することを基準としています。個人識別符号が含まれる情報は、法第2条第1項第2号によりそれだけで個人情報です。

「口座番号や氏名と結び付けない限り当たらない」は、他の情報との照合を要しない点で誤りです。「静脈の形状は掲げられていない」は、施行令に明記されている点で誤りです。

「要配慮個人情報にも当たる」は、法第2条第3項と施行令第2条が定める要配慮個人情報（人種・信条・病歴・犯罪の経歴など）に、生体認証のデータは含まれていない点で誤りです。手のひらの静脈の符号は個人識別符号なのでそれだけで個人情報ですが、要配慮個人情報には当たりません。