もちろんそのままではシステム上のルールを作ることができません。自動的にデータを収集し、解析するモノのインターネットの分野での個人情報取り扱いが難しい原因の1つはこのような曖昧さにあります。
では、個人情報とはどのように扱われるべき情報なのでしょうか。具体的にそれを言葉にしてみましょう。誰が情報主体（情報オーナー）で誰が利用者、管理者なのかを示せばよいのです。
このような前提で個人情報をシステムにもわかりやすく定義すると「オーナーである本人と本人が許可した利用者のみが利用可能」な情報もしくは資産ということになります。つまり、「情報オーナーは本人、利用範囲は取得時に許可された範囲の人であることをラベルに示すことができる」ため、自分にその権限があるのかどうかを判断可能です。
これで、一般的なラベル付けのルールの「取扱注意」で個人情報を示すことができるようになったため、すでにあるシステムのアクセスコントロールリストに含まれる利用範囲（ケイパビリティテーブル）に追加することで一般的なデータと同様に利用することができます。
個人情報とプライバシー情報を分割して持てば良いのか
個人情報管理の際、個人を特定できるものを分割して持つなどの方針を立てている場合がありますが、あまり有用な方法ではありません。管理が複雑になることで、結果としてコストが増加したり、事故が発生する可能性が増加することがあるからです。
シンプルに一元管理することで、管理コストを集中させ、管理を適切に推進することができる環境構築こそが必須です。
公表されないので気づかないことも多いのですが、個人情報の漏えい対策を対症療法的に実施したことによるシステムトラブルも比較的多いようです。正しく動作してこその情報システムですから、設計時、特に情報分類時から検討することで、トータルコストの削減、そして安全で安定した環境の構築を心がけましょう。
