実務現場で極めて誤解が多い領域が、個人識別符号該当しないものの境界線です。とくに多くのEC事業者や決済関連の担当者が混乱するのが、「クレジットカード番号」や「携帯電話番号」の扱いです。
結論から言えば、個人識別符号クレジットカード番号対象外という扱いは法的に確定しています。同様に、携帯電話番号、銀行口座番号、社内で独自に発行した「社員番号」「顧客ID」、さらにはメールアドレスも個人識別符号には該当しません。
なぜ、世界で唯一の組み合わせであるクレジットカード番号や携帯電話番号が対象外なのでしょうか。その理由は、個人情報保護法が「政令で限定列挙されたものに限る」という極めて厳格な立法形式をとっているためです。クレジットカードは民間企業（カード会社）が発行する契約番号に過ぎず、解約や再発行によって番号自体が更新・消滅したり、企業都合で採番体系が変更されたりします。法律が「個人識別符号」として政令指定しているのは、国家インフラとして個人を一意に特定し続ける公的番号、あるいは不変の身体的特徴量に限定されているからです。
ただし、ここで重大な誤解をしてはなりません。「個人識別符号ではないからといって、無条件に安全なデータというわけではない」という実務の落とし穴です。クレジットカード番号単体では個人識別符号に該当しなくとも、会員名簿や購入履歴と結び付いていれば全体として「個人情報」に該当します。また、割賦販売法やPCI DSS（Payment Card Industry Data Security Standard）といった決済セキュリティ基準によって、個人情報保護法以上の厳罰を伴うセキュリティ対策が別途課せられています。「法の文言上の区分」と「現場の実務リスク」を切り分けて捉える姿勢が不可欠です。
