個人情報保護法では、個人に関する情報について「個人情報」、「個人データ」、「保有個人データ」がそれぞれ区別されている。分類に応じて階層的に義務が規定されている。
「個人情報」
「個人情報」という括りが最も広い範囲を示し、個人情報保護法の中では、
「生存する個人に関する情報であって、当該情報に含まれる
氏名、
生年月日その他の記述等により
特定の個人を識別することができるもの（
他の情報と容易に照合することができ、それにより
特定の個人を識別することができることとなるものを含む）」（第2条第1項）
と規定されている。
また経済産業省のガイドラインでは
「氏名、性別、生年月日等個人を識別する情報に限られず、個人の身体、財産、職種、肩書等の属性に関して、事実、判断、評価を表すすべての情報であり、評価情報、公刊物等によって公にされている情報や、映像、音声による情報も含まれ、
暗号化されているかどうかを問わない。なお、
死者に関する情報が、同時に、
遺族等の生存する個人に関する情報でもある場合には、当該生存する個人に関する情報となる。
また、「生存する個人」には日本国民に限られず、
外国人も含まれるが、
法人その他の団体は「個人」に該当しないため、法人等の団体そのものに関する情報は含まれない（ただし、役員、従業員等に関する情報は個人情報）。」
と説明されている。
「個人データ」
「個人情報データベース等」について、個人情報保護法では、
「個人情報を含む情報の集合物であって、
特定の個人情報を電子計算機を用いて検索することができるように体系的に構成したもの
前号に掲げるもののほか、特定の個人情報を容易に検索することができるように体系的に構成したものとして政令で定めるもの（第2条第2項）
と規定されている。
経済産業省のガイドラインには具体的な事例として次のような内容が紹介されている。
個人情報データベース等に該当する事例
事例１ 電子メールソフトに保管されているメールアドレス帳（メールアドレスと氏名を組み合わせた情報を入力している場合）
事例２ ユーザーＩＤとユーザーが利用した取引についてのログ情報が保管されている電子ファイル（ユーザーＩＤを個人情報と関連付けて管理している場合）
事例３ 従業員が、名刺の情報を業務用ＰＣ(所有者は問わない)の表計算ソフト等を用いて入力・整理し、他の従業員等によっても検索できる状態にしている場合
事例４ 人材派遣会社が登録カードを、氏名の五十音順に整理し、五十音順のインデックスを付してファイルしている場合
事例５ 氏名、住所、企業別に分類整理されている市販の人名録
個人情報データベース等に該当しない事例
事例１ 社員が、自己の名刺入れについて他人が自由に検索できる状況に置いていても、他人には容易にわからない独自の分類方法により名刺を分類した状態である場合
事例２ アンケートの戻りはがきで、氏名、住所等で分類整理されていない状態である場合
「個人データ」について、個人情報保護法の中では、
「この法律において「個人データ」とは、個人情報データベース等を構成する個人情報をいう」（第2条第４項） と規定されている。
つまり、個人データは個人情報に含まれるものであり、個人データが何らかの形で整理されて検索可能な状態になっているものが個人情報データベース等となる。
また、個人情報データベース等からのバックアップ用の個人情報や出力された帳票等に印字された個人情報なども個人データとなる。
なお、個人情報データベース等を構成する前の入力帳票に記載されている未整理の個人情報は個人データには含まれない。
「保有個人データ」
「保有個人データ」について、個人情報保護法の中では、
「この法律において「保有個人データ」とは、個人情報取扱事業者が、開示、内容の訂正、追加又は削除、利用の停止、消去及び第三者への提供の停止を行うことのできる権限を有する個人データであって、その存否が明らかになることにより公益その他の利益が害されるものとして政令で定めるもの又は１年以内の政令で定める期間以内に消去することとなるもの以外のものをいう。」（第2条第5項）
と規定されている。
つまり、個人情報取扱事業者が保有しており、その事業者の権限で開示、訂正、追加、削除などができる個人データは「保有個人データ」に該当する。
また、政令第３条及び４条の中で、
政令第３条
「法第２条第５項の政令で定めるものは、次に掲げるものとする。
- 当該個人データの存否が明らかになることにより、本人又は第三者の生命、身体又は財産に危害が及ぶおそれがあるもの
- 当該個人データの存否が明らかになることにより、違法又は不当な行為を助長し、又は誘発するおそれがあるもの
- 当該個人データの存否が明らかになることにより、国の安全が害されるおそれ、他国若しくは国際機関との信頼関係が損なわれるおそれ又は他国若しくは国際機関との交渉上不利益を被るおそれがあるもの
- 当該個人データの存否が明らかになることにより、犯罪の予防、鎮圧又は捜査その他の公共の安全と秩序の維持に支障が及ぶおそれがあるもの」
政令第４条
「法第２条第５項の政令で定める期間は、６月とする。」
と「保有個人データ」でないものを定めている。
保有個人データは、開示等によって公益やその他の利益が害されるものと、6ヶ月以内に消去することとなるものは対象から除かれる。
例えば、以下の事例はいずれも「保有個人データ」ではないと認められるため、本人からの開示請求に対して拒否することも認められている。
「保有個人データ」ではないと認められる事例
事例１ 家庭内暴力、児童虐待の被害者の支援団体が、加害者（配偶者又は親権者）及び被害者（配偶者又は子）を本人とする個人データを持っている場合を入力している場合
事例２ いわゆる総会屋等による不当要求被害を防止するため、事業者が総会屋等を本人とする個人データを持っている場合
事例３ いわゆる不審者、悪質なクレーマー等からの不当要求被害を防止するため、当該行為を繰り返す者を本人とする個人データを保有している場合
事例４ 製造業者、情報サービス業者等が、防衛に関連する兵器・設備・機器・ソフトウェア等の設計、開発担当者名が記録された個人データを保有している場合
事例５ 要人の訪問先やその警備会社が、当該要人を本人とする行動予定や記録等を保有している場合
事例６ 警察からの捜査関係事項照会や捜査差押令状の対象となった事業者がその対応の過程で捜査対象者又は被疑者を本人とする個人データを保有している場合
事例７ 犯罪収益との関係が疑わしい取引の届出の対象情報
