保有個人データとは

保有個人データは、本人が事業者に開示や訂正などを求める権利の対象です。16条4項は、事業者が「開示、内容の訂正、追加又は削除、利用の停止、消去及び第三者への提供の停止」を行うことのできる権限をもつ個人データと定めています。

権限の有無で決まる

データを手元に持っていても、権限がなければ保有個人データではありません。データ入力などの処理を任されて預かっているだけの委託先には、通常、開示などを決める権限がありません。委託が絡む場合は、契約などの実態から、どの事業者が権限をもつかを判断します。

政令で除かれるもの

存否が明らかになるだけで、公益その他の利益が害されるものは除かれます（施行令5条）。

• 本人や第三者の生命・身体・財産に危害が及ぶおそれがあるもの（家庭内暴力の被害者を支援する団体がもつ、加害者と被害者のデータなど）
• 違法・不当な行為を助長・誘発するおそれがあるもの（不当要求の被害を防ぐためにもつ、反社会的勢力のデータなど）
• 国の安全が害されるおそれなどがあるもの
• 犯罪の予防や捜査などに支障が及ぶおそれがあるもの

本人ができる請求

• 利用目的の通知（32条2項）
• 開示（33条）：電磁的記録の提供など、開示の方法を本人が指定できます。
• 訂正等（34条）：内容が事実でないとき。
• 利用停止等（35条）：目的外利用や不正取得などの違反があるときのほか、事業者が利用する必要がなくなったときなど。

事業者は、保有個人データの利用目的や請求の手続などを、本人の知り得る状態に置きます（32条1項）。

AIとの関係

学習用に抜き出した会員データも、自社が権限をもつなら保有個人データに当たりえます。開示や利用停止の請求に応じられるよう、学習用にコピーしたデータも含めて所在を把握しておきます。

2026年の改正（未施行）

2026年7月17日に公布された改正法は、本人が16歳未満の場合や、顔特徴データ等について、利用停止等の請求の要件を緩める規定を設けました。2026年10月31日時点では施行されていません。