個人情報漏洩防止対策 : 近時の情報漏洩事件においては、内部犯行によるものが増えていると聞きます。これに対してはどのような対策を取ればいいのでしょうか。

内部漏洩防止のための決定的な手段は残念ながら無いと言っていいでしょう。現状において可能な複数の手段を組み合わせて実施し、漏洩の危険性を少しでも減らしていくことが重要です。具体的には、まず各ベンダーが提供しているセキュリティシステムを導入して、社内のシステムから情報を引き出しにくい体勢を作ることが考えられます。次に従業員の法的な義務を強化するために、就業規則、労働契約を整備する必要があります。これらが変更できないのであれば、別途誓約書を提出させるのも有効でしょう。そしてよく言われることですが、社員教育を頻繁に実施して、社員の情報に対する意識を啓発することが重要です。

安全管理措置 : 先日セキュリティベンダーから「個人情報保護法が成立しましたので、セキュリティ機器を導入しなければ違法になりますよ」と言われました。本当でしょうか。

個人情報保護法第２０条では、個人情報の安全管理措置を取ることが個人情報取扱事業者の義務とされています。もっとも、どのような安全管理措置をとれば、この条文上の義務を満たしたことになるかは明確ではありません。各種のセキュリティ基準や、国や地方公共団体が定めたガイドラインを参考にして、セキュリティ確保のための措置を取っていくことになります。少なくとも現時点において、特定のベンダーの製品や、特定の機能を有する製品の購入・導入が義務づけられているわけではありません。

安全管理：個人情報保護法が施行されましたが、現在在職中の従業員から、新たに個人情報の取扱に関する誓約書や同意書を取得することは必要でしょうか。

個人情報保護法の施行に合わせて、各企業では従業員から個人情報の取扱に関する同意書や誓約書（以下単に「誓約書」といいます）を取得することが積極的に行われています。しかし個人情報保護法が要求しているのは、あくまでも「従業者に対する必要かつ適切な監督を行」うことです（同法２１条）。そのため個人情報の取扱方法を教育したり、従業員の個人情報の取扱方法を定期的に確認していなければ、誓約書を取得していたとしても、法律を遵守していることにはなりません。逆に誓約書が無くても、実効性のある監督手段を実施しているのであれば、法令を遵守していることになります。結局、誓約書の取得は必須というわけではありません。
もっとも誓約書を書かせるという行為は、従業員の個人情報保護への意識を高める効果があります。監督の実効性を挙げるための一手段として位置づけるのがよいのではないでしょうか。
また他の企業から業務を受託する際には、従業員から誓約書を取得していることが条件とされることが多くなってきています。そのため契約を遵守するために誓約書の取得が必要となる場合があり注意が必要です。

安全管理：会社が従業員に貸与していた携帯電話が盗難されたり、紛失したりした場合に、責任を負うのは会社ですか？従業員ですか？また個人の携帯電話に会社の顧客の情報が入っていた場合はどうですか？

個人情報が漏洩した場合には、個人情報保護法上の責任と、プライバシー侵害が問題となります。携帯電話の紛失や盗難の場合には、アドレス帳に記載されている氏名、住所、電話番号や、メールボックスに保存されているメールアドレスや本文の漏洩の可能性があるでしょう。
まず漏洩した内容が、個人にとってのセンシティブな情報を含んでいる場合（思想・信条・私生活上の行状等）には、本人から紛失した従業員に対する損害賠償請求権（民法７０９条）が発生します。そして本人は会社に対しては使用者責任を追及できます（７１５条）。この場合会社は、従業員に対する監督を尽くしていたことを立証できない限りは責任を免れることができません。携帯電話が会社の所有にかかるものであればこの立証は非常に困難でしょうし、従業員の所有物であっても、例えば会社として私物の携帯電話の使用を固く禁止しているにもかかわらず、従業員が勝手に個人の携帯を使用していたことを立証しなければいけませんが、これも容易ではないでしょう。
個人情報保護法上の責任については２０条の安全管理義務が問題となりますが、まず従業員個人は、そもそも個人情報取扱事業者に該当しませんから、責任を負うことはありません。会社の責任が発生するかについては、会社が従業員に対して携帯電話の取扱についての適切な教育、監督を行っていたかがポイントです。たとえば教育としては、携帯電話の紛失に対する注意喚起をしたり、メモリの内容が不要になった際にはすぐに消去するよう指導したりしていることが必要です。また監督としては、従業員による携帯電話の取扱状況を定期的にヒアリングしたり、規則に違反した従業員を発見したときに、その改善を実際に命令したりしていることが必要です。会社としてこれらの安全管理義務を尽くしているにもかかわらず漏洩したという場合には、安全管理義務違反を問われることはありま
せん。これらの内容は、携帯電話が会社の所有物であるか、私物であるかは関係がありません。なお私物の携帯電話の使用が禁止されてして、かかる規則が周知徹底されているにもかかわらず、従業員がこれに違反して使用・漏洩したという場合には、安全管理義務違反を問われることはないでしょう。
もちろん従業員が訓戒・減俸など会社の内規上の処分を受けるかどうかは個人への法的な責任の発生の有無とは別問題ですので、別途労働法を鑑みた判断が必要です。

誓約書：従業員から秘密保持に関する誓約書を集める予定にしています。秘密保持契約書のような詳しい内容のものではないのですが、法的には効力があるものなのでしょうか。

従業員から徴収する秘密保持契約書には、通常は秘密保持義務や損害賠償義務が規定されています。もっとも労働契約上、従業員は当然に秘密保持義務を負っており、また、民法４１５条や７０９条により、情報を漏洩させた場合には、損害賠償義務を負うこととなります。そのため秘密保持契約書のこれらの規定は法的には意味がありません。また損害賠償額の予定や違約金条項を入れる場合もありますが、労働法上従業員に一方的に不利益を課すような条項は無効となる可能性が高いですから、これもまた法的にはあまり意味がありません。
もっとも日本人は一般的には律儀ですので、機密保持誓約書に署名すると、「情報を漏洩してはいけない」という意識がかなり高まります。そのため事実上情報漏洩防止の効果は高まるでしょう。
ま社外への持ち出し禁止や退職時の返却などの情報の安全のためのルールは、法的に必ずしも従業員が義務を負っているわけではありません。そこでた誓約書雛形を会社側で作成する際には、これらの条項を盛り込むと効果のより高い誓約書となるでしょう。

安全管理：一般的に購入して入手可能な名簿類を廃棄するときにもシュレッダー処理や溶解処理が必要でしょうか？

個人情報について要求される安全管理の度合いは個人情報のセンシティブ性に応じて様々です。廃棄に際しても、個人情報の重要性に応じた処理が必要になります。購入可能な名簿にしても、個人情報保護法施行後に、本人の同意の下で編纂されて一般に発売されている名簿であれば、シュレッダーや溶解処理までは不要でしょう。一方、個人情報保護法施行前に編纂された名簿や、本人の知らないところで発売されてしまっている名簿（多くの紳士録・公務員名簿等が該当します）については、念のため安全な廃棄方法をとった方が望ましいでしょう。
ちなみに悩ましいのがＮＴＴのタウンページやハローページ（現在は配布停止）です。これらをシュレッダー処理や溶解処理していたらキリがありませんが、一般への流通度、普及度が高いため、個人情報保護法施行前に編纂されたものであっても、簡易な処分で問題ないと思われます。

安全管理：会社の従業員が個人情報を漏洩した場合には、その個人はどのような責任を負うのでしょうか？

まず民事上の責任として本人に対する損害賠償が必要となります。勤務先や委託元が本人に対して先に賠償している場合には、これらの勤務先や委託元からの求償を受けることになります。たとえば京都府宇治市の住民基本台帳データ漏洩事件では、情報を持ち出した大学院生やその所属企業が宇治市に対し４００万円の賠償をすることになりました。
一方、刑事上の責任ですが、故意に持ち出したのであれば、窃盗罪や業務上横領、不正競争防止法違反として、懲役又は罰金が科されます。さくら銀行の派遣社員が個人情報を持ち出した事件では業務上横領罪が成立した例があります。

廃棄パソコンの残存データ：パソコン（ＰＣ）の中に友人の個人情報の残したまま中古業者に売却してしまいました。もし個人情報が漏洩したときに、私は責任を負いますか？それとも中古業者が責任を負いますか？

民法上、過失によって第三者に損害を発生させたときにはこれを賠償する責任が発生します。過失とは、平たく言えば、「やるべきことをやらないこと」です。近時個人情報保護への意識が高まっており、また、廃棄パソコンからの情報漏洩事件が多発しています。このような社会状況を前提とすると、廃棄するパソコンの中の個人情報は、これを消去すべき義務があると判断される可能性は高いでしょう。そして一次的に廃棄する義務を負うのは、パソコンの中に当初自ら個人情報を保存した者です。そのため、中古業者が重ねて責任を負う可能性がないわけではありませんが、まずはあなたが賠償の責任者となるでしょう。

個人情報の廃棄：個人情報の安全管理を行うため、業務上不要となった個人情報については廃棄したいと考えています。また顧客にこのことをアピールするため「お客様の個人情報は業務終了時に廃棄いたします」とお伝えする予定です。

個人情報の保護はもちろん大切ですが、他の法律の要求を遵守しなければ、これは別のコンプライアンス違反となってしまいます。そのため法定の保管年限が定められている文書については、まずこれを遵守することが第一です。
その場合、「お客様の個人情報を業務終了時に廃棄いたします。」と言ってしまうと、一部虚偽の事実を伝えてしまうことになり、また、不当表示となってしまうリスクもあります。そのため例えば、「お客様の個人情報については、法律で保管が義務づけられているものの他は、業務終了時に直ちに廃棄いたします。」などとして、一定の留保をして表示した方が良いでしょう。

機密保持契約書の締結義務：当社は卸売業者ですが、納入先より個人情報漏洩についての損害賠償条項が記載された覚書と誓約書の提出を要求されています。当社は取引上弱い立場にあるのですが、この要求には従わなければならないのでしょうか？

近時、個人情報漏洩事件の多発を受けて、個人情報保護に関する覚書の締結や誓約書の徴集が盛んに行われています。そして多くには、機密保持条項や損害賠償条項が記載されています。もっとも、誤解が多いのですが、実は、個人情報を預かっていれば、これらの書面を締結していなくても、法律及び先例上、機密保持義務や損害賠償義務を当然に負っています。当たり前といえば当たり前なのですが、、人の秘密を勝手に漏洩してはいけませんし、漏洩によって相手に損害を与えればこれを賠償しなければなりません。そのため、機密保持条項や損害賠償条項しか記載されていない書面であれば、もともと法律上負担している義務を紙に書いただけですので、実は締結したとしても、自社の負担が重くなるわけではありません。
一方、監査の受け入れや報告義務など、実質的な負担が重くなる条項については、よく検討して締結すべきです。違約金条項などが入っていると、思ってもみなかった賠償責任が発生してしまうことがあります。なお、機密保持の覚書や誓約書を相手方に提出するという義務は、法律上は特に存在していません。しかし今般、個人情報保護法が制定され、業務委託先の管理責任が明定されました。そしてこれをうけて経済産業省の個人情報保護ガイドラインも委託先に対し一定の監督を行うように要求しています。そのため委託元においてもこれらに対応せざるを得ない以上、委託先においても、覚書の締結などはある程度は受諾せざるを得ないでしょう。もっとも、「個人情報保護対策」という名の下に実質的に不利益な取引条件を押しつけるような行為は許されません。経済産業省ガイドラインにも同様の記載がなされています。あまりにも乱暴なやり方であれば、優越的地位の濫用であるとして、独占禁止法に基づき、公正取引委員会に申告すべきでしょう。

公共の場所での氏名の読み上げ：銀行の窓口や病院の待合いで、顧客や患者の名前を読み上げて呼び出すことは個人情報の漏洩にあたりますか？」

まず個人情報保護法上の問題としては、同法に違反したこととはならないと思われます。単なる名前の読み上げがあった場合に、その場にいる第三者が受け取ることのできる情報はまさに名前の音のみです。通常は名前の音のみであれば、特定の個人を識別することは通常不可能です。そのためこの場合の名前は、同法の個人情報には該当しません（ただし珍しいお名前の場合には注意が必要でしょう。また詳細な理由は不明ですが経済産業省ガイドラインでは氏名が個人情報に該当すると例示しています。）。また仮に個人情報に該当するとしても、「名前を呼んでカウンターまで来てもらうこと」については、通常、本人も同意していることから、同法２３条の第三者提供の同意があったと考えることもできるでしょう。
　次にプライバシーの問題ですが、現状では、非公知性や、センシティブ性が無いという理由で、プライバシーを侵害してはいないという結論になるでしょう。もっとも今後の権利意識の高まりを受けて、プライバシーの問題になっている可能性が無いわけではありません。
　ただし道義的配慮の問題として、名前を直接呼ばなくてもよい措置を取ること自体は望ましいものと評価されていくことになるでしょう。

第三者提供：不動産の賃貸を事業として行っています。入居希望者から前の入居者がどんな人物だったかを聞かれることがあるのですが、答えてもいいのでしょうか。あと弁護士を名乗って入居者の情報を聞いてくる人がいるのですが、どう対応すべきでしょうか。

個人情報保護法上、「個人データ」については第三者への提供が規制されています（同法２３条）。しかし「個人情報」ですらない情報は「個人データ」にもならないため規制がかかりません。
例えば妻帯者かどうかや子供の人数などの家族構成や職業、物件の使用状況等は単にこれらの情報だけでは個人を特定することができませんので、個人情報に該当しません。プライバシー保護の観点からもこれらの提供のみとするのが適当ですし、新しい入居者としても入居を判断するには十分なはずです。一方、氏名や電話番号、転居先の情報は個人の特定が可能ですので、原則としては提供できないと考えておいた方がいいでしょう。
弁護士からの要求の場合には、既知の弁護士からの問い合わせでない限りは、「弁護士法２３条に基づく照会」によることを要求すべきです。この場合は確かに弁護士からの請求であることを確認できますし、２３条の例外に該当しますので、個人情報保護法に違反したことにもなりません。

名刺の持ち出し：営業社員が退職するに際しては、在職中に集めていた顧客の名刺は会社に渡してもらうべきなのでしょうか？

営業社員が会社の営業のために客先を回るなどした際に集めた顧客の名刺については、その所有権は会社にあるものとされています。そのため退職する際に名刺を持って出るということは、窃盗や横領の問題となってしまいます。
また多くの場合、名刺に記載されている情報は、会社の方で何らかの形でデータベース化しているのではないかと思います。会社から離れた一個人に名刺を渡すということは、個人データを第三者提供しているということになり、原則として本人の同意が必要となります。各個人から同意を得るというのは事実上不可能でしょうから、データベース化されている部分がある場合には、これを除かない限りは、名刺を持ち出させるのは困難です。
そのため名刺については退職時はすべて原則回収するという取扱いを確立すべきでしょう。

第三者提供：当方レストランを営業しています。空席待ちをしていただくお客様の順番を管理するために、レジ前の待合いスペースに名前を書ける台帳（ウェイティングリスト）を置いて、お越しいただいたお客様に、お名前、人数を御記載いただいています。お越しいただいた方であれば、誰でもその台帳を見ることができてしまうのですが、個人情報保護法上問題は無いでしょうか。

個人情報保護法における利用目的の通知、第三者提供及び安全管理措置が問題になります。
なお名字のみを記載する場合には、そもそも個人情報に該当するかどうかも微妙なのですが、名前まで記入する方がいないとは限りませんので、個人情報に該当することを前提として検討するべきでしょう。
まず利用目的の通知ですが、常識的に判断して、その台帳がウェイティングリストとして使用されることが誰にでもわかる形で設置してあるのであれば、「利用目的が明らかな場合」として、特に別途の告知は不要でしょう。一方、この台帳をその他の目的に使用する場合には、かかる目的を、台帳やその他来店客の目に付きやすいところに掲示しておく必要があります。
この台帳が誰でも見ることができるという点については、第三者提供が問題となります。この第三者提供の規制は、「個人データベースを構成する個人情報」のみが適用対象です。
こういった台帳形式のウェイティングリストについては、通常は来店したお客様に、上から順に名前を御記載いただく形となっているのではないかと思います。するとその台帳自体には、特定の個人を検索するための仕組みが備わっていない事になります。この場合、個人情報保護法にいう個人データベースに該当しないこととなりますので、第三者提供の規制はそもそも適用されないことになります。
そして安全管理措置についても、やはり個人データベースに該当しない場合には適用がありません。
以上の通り、通常は、一般的な台帳形式のウェイティングリストが個人情報保護法に抵触してしまうということはありません。
もっとも個人情報保護を重視するのであれば、台帳に記載する情報を必要最小限、例えば名字のみにして、住所はもちろんのこと、その他名や電話番号は記載しないように告知した方が良いでしょう。また容易に持ち出されたりしないような工夫も必要かと思われます。

第三者提供：当社は収益物件（主に賃貸マンション・テナントビル）を取り扱う不動産業者です。収益物件を売買する際には、収益力の吟味のため、顧客より入居者の情報（勤務先・支払賃料・支払履歴までも）の提供を求められることがあります。開示するためにはどのような対策を取っておくことが必要でしょうか。宅建業法の守秘義務に反しないかも心配です。

個人情報データベースを構成する個人情報を第三者に提供するときには、本人の同意が必要です。単に利用目的を明示しておくだけでは足りません。収益物件にかかわる個人情報であっても、特に例外には該当せず、第三者提供するのであればやはり同意が必要となります。また顧客に見せるだけで記録させなかった場合でも、やはり第三者提供となりますので、同意が必要です。なお本人の同意を得て公開するのであれば、宅建業法上の守秘義務に反することはありません。なおデータベース化されていない個人情報については第三者提供の規制の対象外ですので、同意の取得は不要です。もっとも勤務先や賃料、支払い履歴はセンシティブな情報ですので、仮に個人情報保護法に違反しないとしても、賃借人のプライバシーを侵害してしまうおそれがありますので、やはり同意を取得しておくに越したことはないでしょう。
収益物件が売買された際には、法律上賃貸人たる地位が当然に移転します。その際、契約書や、賃料・保証金の残高情報を引き継ぐことになりますが、これは形式的に見れば個人情報の第三者提供です。もっとも個人情報保護法第２３条４項２号では事業の承継に伴って個人データが提供される場合には、第三者提供とならない旨規定しています。収益物件の所有権がこのような「事業の承継」と言えるか否かについては、法律やガイドラインでは明確な記載がありません。しかし、賃貸人たる地位が当然に移転する以上は、やはり事業の包括承継に準じるものといえます。また賃借人が同意を拒否することが可能であるとすれば、事実上は賃借人が収益物件の売買の拒否権を有することとなってしまい不当です。そのため収益物件の売買の際は、この規定の適用対象となるというべきでしょう。そのため御質問の件では、賃借人の個別の同意は不要と思われます。