個人情報Q&A ⁽⁸¹⁾

当社は懸賞による賞品のＰＲを受託している企業です。依頼企業に代わって懸賞の受付を行いますが、一般消費者に対して当社の名前が出ることはありません。当社のような業務形態でも個人情報の利用目的の通知又は公表は必要でしょうか。また必要とすると具体的にはどのような方法をとればよいのでしょうか。 個人情報保護法21条は、個人情報取扱事業者に利用目的の通知又は公表を義務づけています。利用目的が明らかである場合などを除いては、この義務が免除されることはありません。そのため貴社の場合でも、この条文に従って個人情報の利用目的を通知または公表する必要があります。もっとも利用目的を通知するとなると、受託者である貴社の名称が明らかになってしまいますし、実務上も不可能でしょう。そのためインターネットのホームページで公表するのがもっとも現実的な方策と思われます。なお個人情報保護委員会の通則編ガイドラインによれば、利用目的の中に情報の取得源を含める必要はないとされていますので、利用目的を公表したとしても、受託先が公になることはありません。 委託元の表示や応募画面も含めて、誰が何のために扱うか、受託者が独自の目的で利用していないかを整理します。取得源の事業者名を全て目的文に列挙する義務がないことと、取得主体を偽ってよいことは異なります。本人から直接書面等で取得する部分には21条２項の事前明示も確認します。

名刺をもらうとき、もらった相手に今後年賀状を送付したいと思っている場合には、もらうときに「年賀状を送ります」と言っておかなければいけませんか。個人情報保護法21条２項の規定を読むとそのように解釈できるので心配です。 個人情報保護法第21条２項では、個人情報を書面等で取得する場合には、予め当該個人情報の利用目的を本人に明示しなければならないとされています。するとこの条文だけ見れば、名刺をもらう際に、年賀状を送る予定であれば、その旨を予め告げなければならないということになりそうです。しかし同条４項４号にて、「取得の状況からみて利用目的が明らかであると認められる場合」には、同条２項は適用されないものとされています。社会通念上、年賀状その他の挨拶状を送ったり、その後に連絡したりするために名刺に記載された情報を利用することは、名刺が交換された際のもらった側の利用目的として明らかと言うことができます。個人情報保護委員会の通則編ガイドラインにおいても同様の解釈がとられています。もっとも、挨拶状の送付や単なる業務上の連絡の域を超えて、ダイレクトメールの送付を行ったり宣伝行為をすることは、名刺を授受の際に、利用目的として当然に明らかになっているものとはいえません。そのため単に名刺を受け取った場合には、ダイレクトメールを送付すると、利用目的の範囲外での利用となるでしょう。ダイレクトメールの送付等が予想される場合には、「田中一郎様でございますね。ご迷惑でなければこの名刺のご住所に当社の商品のご案内を送付させていただいてもよろしいでしょうか。」等と確認しておくべきことになります。

当方は不動産仲介業者です。売り主を捜したりするために、不動産登記簿から物件の所有者の連絡先を調べています。そして電話や郵便で連絡をとり、売却のご意思の有無を伺っております。事前に利用目的を通知したりできないのですが、このような営業方法は個人情報保護法上違法でしょうか。 個人情報保護法上、書面等で本人から個人情報を取得する場合には、事前に利用目的を明示することが要求されておりますが（同法21条２項）、不動産登記簿から情報を取得する場合にはこの規定は適用されません。すると利用目的については、個人情報の取得後速やかに、通知又は公表すればよいことになります（21条１項）。御社の場合であれば、例えばホームページに利用目的を予め掲示しておけばそれで足りることになり、この利用目的に沿って利用する限りは、違法ではありません。もっとも個人情報保護法上違法ではないといっても、不動産登記簿の情報をこのような形で使用されてしまうことに抵抗を覚える方も多いですから、所有者への連絡の際には、何らかの配慮が必要でしょう。

当社は配送業務を受託しています。宅配伝票の出力のために、委託元より個人情報を預かります。また預かった個人情報に、配送日や問い合わせ番号を付加した上で、委託元に返却しています。これらのやりとりには個人情報保護法が適用されるのでしょうか。 御社の立場を前提とした場合、結論としては、一部個人情報保護法が適用されることになります。分析すると、まず、御社が個人情報保護法の適用対象たる個人情報取扱事業者に該当するか否かが問題となりますが、取扱人数にかかわらず、個人情報データベース等を事業の用に供するのであれば、該当することとなるでしょう。 次に委託元から情報を預かる際には、個人情報保護法の17条から21条までが適用されることになります。これらの規定については受託業務だからといって除外されるような例外はもうけられていません。すると預かった個人情報についてその利用目的を特定の上公表し、その利用目的の範囲内でのみ利用するという義務が課せられます。 最後に委託元に情報を返却する際には、同法27条の第三者提供の規制が適用されるかどうかが問題となります。御社が保有している情報は、委託元から御社に提供される際には同条５項１号（情報処理の委託）の規定を適用して、個々の本人からは同意を得ずに御社に提供されたもののはずです。するとここで言うところの委託元はそもそも「第三者」に該当せず、同条は適用されない、つまり、個々の本人から提供についての同意を得る必要はないということになります。御社の場合、返却の際には新たな情報が付加されていますが、これらの情報は独立して個人情報となりうるものではありませんので、やはり同条は適用されないでしょう。 委託先も安全管理措置等の義務を負います。委託に伴う提供・返却が第三者提供に当たらないのは、委託された利用目的の達成に必要な範囲内の取扱いだからです。預かった配送情報を受託者独自の広告や名簿販売に転用できるわけではありません。

当社ではダイレクトメールの発送業務を外部に委託しています。委託先の情報管理体制がどのようになっているのか不安なので問い合わせてみたら、企業秘密なので一切回答できない旨の返事でした。どのように対応すべきでしょうか。 個人情報保護法25条では委託先の監督が要求されています。これは単に契約上で守秘義務を定めるのみならず、業務を委託して行わせるに際して、具体的に管理・監督することが求められています。委託業務を取り扱わせる前に、情報管理にかかる社内体制を整備させたり、委託開始後も定期的に報告を求めたりすることが必要になります。 御社の状況を前提とすれば、まずは委託先企業に対して、「個人情報保護法上委託先の監督が要求されている」旨を説明して理解を求めるべきでしょう。こういった場合は委託先も個人情報取扱事業者に該当する場合がほとんどですから、個人情報保護法のことを知ってしかるべきです。 それでも監督に応じないのであれば業者の変更も検討すべきです。これまでにも個人情報漏洩事件が多発していますが、委託先からの情報漏洩が原因となっている事件が多くあります。委託先での事故だからと言って委託元が責任を免れることができるわけではありません。リスク管理のための重要項目と認識して下さい。なお、例えば「使用しているデータセンターの所在地」といった情報はそれを開示するとセキュリティ上確かに問題があります。ただしそういった情報は限定的ですから、開示を求める情報の種類毎に委託先に開示できない理由を説明させてもよいと思います。 現行の通則編も、適切な委託先の選定、契約、取扱状況の把握を示しています。必ず一律に実地監査を行うという意味ではなく、委託内容やデータの性質・量等に応じて、報告、質問票、第三者認証や監査結果の確認等を組み合わせて実効性を確保します。