個人情報Q&A ⁽⁸¹⁾

当社では個人情報の収集は、「●●センター」というサービスマークをもって自身の名称としています。利用目的等を開示する際には、「●●センターの個人情報利用目的」といった形で表示することはできますか。 個人情報保護法32条１項及び同項１号では、個人情報取扱事業者の氏名又は名称を本人に知りうる状態にすることが求められています。一般的に名称という用語には「サービスマーク」を含みませんので、商号を表示する必要があるでしょう。ただサービスマークの方が有名である場合には、サービスマークを主立ったものとして表示し、法人名を副次的に併記することは認められると思われます。 現在は、事業者の住所及び、法人では代表者の氏名も本人が知り得る状態に置く事項に含まれます。利用目的、請求手続、苦情の申出先等も併せて確認します。サービス名を前面に出す場合でも、どの法人が取り扱うのかを本人が確認できる表示にします。

採用応募者に対しメールで案内を出す際に、誤ってTo:欄に受信者全員のメールアドレスを記載してしまい、応募者の間で相互にメールアドレスがわかる状態となってしまいました。これは情報の漏洩だと思いますが、どのような対処を行うべきでしょうか。漏洩した件数は５０件程度です。 このような形態での情報漏洩では、本人が、自分の個人情報が漏洩していることがすぐにわかります。そのためまずは本人に対して事件の経緯を説明の上、謝罪することが第一です。謝罪に際しては、メールの削除を要請することはもちろん、今後の漏洩防止策を併せて説明すべきでしょう。また悪用されているような兆候があった場合に、自社において善処する旨を伝えることによっても、自社の対応に誠意があることを示すことができると思われます。 現在の報告先は、原則として個人情報保護委員会（権限委任分野では所管機関）です。個人情報保護法26条の報告・本人通知の対象は、要配慮個人情報、財産的被害のおそれ、不正目的による漏えい等、1,000人を超える本人の個人データの漏えい等です。50件のメールアドレス誤送信という件数だけで義務の有無は決まらず、含まれる情報や被害のおそれも確認します。報告対象なら速やかに速報し、原則30日以内（不正目的のおそれがある場合は60日以内）に確報します。業法等の別の報告義務も確認します。 なおプレスリリースやホームページへの掲載については漏洩件数が５０件程度の場合は行うか否かは迷うところです。ただし本件のように漏洩したことが公になりやすいケースにおいては、少なくともホームページにおいて事態の経緯を説明し、マスコミ等の取材に対しては、ホームページの掲載文を確認するよう促すのがよいのではないかと思います。

当社は物販を行っている企業です。セールをメールで顧客に案内する際に、誤って複数の顧客のメールアドレスをTo欄に記載してしまい、顧客に他の顧客のメールアドレスがわかる状態で送信されてしまいました。怒った顧客から電話がかかってきて、「弁護士に相談して賠償を請求する」と言われました。当社として今回の事件は大変申し訳ないと思ってはおりますが、損害賠償を行ったりする必要性はあるのでしょうか。必要性があるとして、その金額はいくらぐらいになるのでしょうか。 このような事件が発生した場合、漏洩側の企業として被害に遭われた方にお詫びするのはもちろんですが、法的にはかならずしも賠償請求権が発生するわけではありません。 一般的に賠償請求を行うためには、何らかの実損が発生していたり、受忍限度を超える精神的苦痛が発生していることが必要です。 メールアドレスの漏洩であれば、漏洩したメールアドレスがスパム業者の手に渡って事実上使い物にならなくなり、メールアドレスの変更を余儀なくされたといった事態が想定されます。この場合には変更の為に必要となる実費を賠償するという形になります。もっとも法律上、裁判になった場合の立証責任は被害者側にありますので、「メールが使い物にならないこと」、「使い物にならなくなった原因がメールアドレスの漏洩に原因があること」を被害者側が立証して初めて賠償請求が認められることになります。 またメールアドレスは一般的にはセンシティブ性の無い情報ですので、メールアドレスの漏洩それ自体をもって慰謝料を請求するのは通常は困難でしょう。 メールアドレスだけでも氏名等と容易に照合できれば個人情報です。賠償の有無・額は、アドレスの性質、漏えいの態様、付随情報、本人への影響等によって判断され、単にメールが使えなくなった実費がないという理由だけで慰謝料が必ず否定されるわけではありません。また、賠償責任の判断と、個人情報保護法26条の委員会報告・本人通知の要否は別に確認します。

当方は私立の女子大ですが、卒業生の名簿を作成しております。結婚して姓が変わる方が多いのですが、学校に連絡がないことが多いため、名簿を変更できないことが多々あります。これは個人情報保護法に違反するのでしょうか。 個人情報保護法上、利用目的の達成に必要な範囲内で、個人データの正確性を確保する義務は努力義務とされています（同法22条）。つまり個人情報の正確性を確保するための措置を取らなかったとしても、直ちには違法とならないと言うことです。もっとも、金融機関の例ですが、記録された個人情報が不正確であったことを原因として損害賠償請求が認められた例もありますので、努力義務であるからと言って軽視しない方がよいでしょう。 一方、保有個人データの内容が事実でないとして本人から訂正等の請求を受けた場合は、34条に基づき必要な調査・訂正等を行い、結果を通知する制度があります。一般的な正確性確保の努力義務と、理由のある訂正請求への対応義務を区別します。

当社において現時点で保有している個人情報は、どう集めても５０００件には達しません。当社では個人情報の利用目的を定めたり、セキュリティ確保のための措置を取ったりしなくても良いということでしょうか。 現在は5,000件以下という理由で個人情報保護法の適用対象外にはなりません。2017年５月30日に旧5,000人以下の適用除外が撤廃され、個人情報データベース等を事業の用に供すれば、取扱人数にかかわらず原則として個人情報取扱事業者です（16条）。 そのため、利用目的の特定・通知等、安全管理措置、従業者・委託先の監督等の各義務を確認しなければなりません。安全管理は一律に大企業と同じ設備を求めるものではなく、事業の規模・性質やデータの内容・量等のリスクに応じて必要かつ適切な措置を講じます。 また、個人情報の漏えいにより民法上の損害賠償義務を負う可能性は、旧制度の適用対象であったか否かとは別に問題になります。