個人情報Q&A ⁽⁸¹⁾

個人情報の管理は外部に委託してもいいのでしょうか。 結論として個人情報の管理を外部委託することは可能です。典型的なパターンとしては、社内のデータベースの管理を外注したり、ＤＭの発送を印刷業者に委託したりすることが考えられます。 個人情報保護法やＪＩＳ Ｑ １５００１は個人情報の処理については、外部委託がだめとも規定していませんし、外部委託が望ましいとも規定していません。ただ外部委託するのであれば、外部委託先の管理監督をきちんと行うことが要求されています（個人情報保護法25条。プライバシーマークではJIS Q 15001:2023に対応する現行の構築・運用指針）。逆に言えば、外部委託先の管理監督をきちんと行うのであれば、外部委託は法律・規格上可能ということができます。 もちろん外部委託をした際の情報漏えいリスクを実務上どのようにヘッジするかはまた別の問題ですので、十分な対策が必要です。 委託に伴う提供が本人同意を要する第三者提供に当たらないのは、利用目的の達成に必要な範囲で行う場合です（27条５項１号）。委託先の選定、契約、取扱状況の確認を行い、再委託や事故報告、返却・消去の条件も定めます。

当社は機関誌を発送していますが、その発送は配送業者に委託しています。この場合当社から配送業者に送付先となる個人の情報を提供しますが、本人から同意を得たり、配送業者と機密保持契約を締結する必要はありますか？ 個人情報の利用目的の達成のために、業務の委託に伴って個人情報を第三者に提供するときには、本人からの同意の取得は不要です（個人情報保護法27条５項１号）。もっとも同法25条により委託元には委託先の監督義務が課されています。現行の個人情報保護委員会の通則編は、適切な委託先の選定、委託契約の締結、委託先における取扱状況の把握等を示しています。秘密保持に加え、再委託、事故時の報告、返却・消去等を契約で具体化し、実際の監督を行います。

近時の情報漏洩事件においては、内部犯行によるものが増えていると聞きます。これに対してはどのような対策を取ればいいのでしょうか。 内部漏洩防止のための決定的な手段は残念ながら無いと言っていいでしょう。現状において可能な複数の手段を組み合わせて実施し、漏洩の危険性を少しでも減らしていくことが重要です。具体的には、まず各ベンダーが提供しているセキュリティシステムを導入して、社内のシステムから情報を引き出しにくい体勢を作ることが考えられます。次に従業員の法的な義務を強化するために、就業規則、労働契約を整備する必要があります。これらが変更できないのであれば、別途誓約書を提出させるのも有効でしょう。そしてよく言われることですが、社員教育を頻繁に実施して、社員の情報に対する意識を啓発することが重要です。 例えば、担当業務に必要なアクセス権限に絞る、操作記録を点検する、持出し・外部送信を管理する、退職・異動時に権限を見直すといった対策を組み合わせます。規程や誓約書だけでなく、違反や不審な取扱いを見つけた際に対応する仕組みが必要です。

先日セキュリティベンダーから「個人情報保護法が成立しましたので、セキュリティ機器を導入しなければ違法になりますよ」と言われました。本当でしょうか。 個人情報保護法23条では、個人情報の安全管理措置を取ることが個人情報取扱事業者の義務とされています。もっとも、どのような安全管理措置をとれば、この条文上の義務を満たしたことになるかは明確ではありません。各種のセキュリティ基準や、国や地方公共団体が定めたガイドラインを参考にして、セキュリティ確保のための措置を取っていくことになります。少なくとも現時点において、特定のベンダーの製品や、特定の機能を有する製品の購入・導入が義務づけられているわけではありません。 現在の通則編は、組織的・人的・物理的・技術的な安全管理措置や外的環境の把握を示しています。取り扱うデータの内容・量、事業規模、リスクに応じて選ぶもので、特定製品を購入すればそれだけで遵守になる制度ではありません。

会社が従業員に貸与していた携帯電話が盗難されたり、紛失したりした場合に、責任を負うのは会社ですか？従業員ですか？また個人の携帯電話に会社の顧客の情報が入っていた場合はどうですか？ 個人情報が漏洩した場合には、個人情報保護法上の責任と、プライバシー侵害が問題となります。携帯電話の紛失や盗難の場合には、アドレス帳に記載されている氏名、住所、電話番号や、メールボックスに保存されているメールアドレスや本文の漏洩の可能性があるでしょう。 まず漏洩した内容が、個人にとってのセンシティブな情報を含んでいる場合（思想・信条・私生活上の行状等）には、本人から紛失した従業員に対する損害賠償請求権（民法７０９条）が発生します。そして本人は会社に対しては使用者責任を追及できます（７１５条）。この場合会社は、従業員に対する監督を尽くしていたことを立証できない限りは責任を免れることができません。携帯電話が会社の所有にかかるものであればこの立証は非常に困難でしょうし、従業員の所有物であっても、例えば会社として私物の携帯電話の使用を固く禁止しているにもかかわらず、従業員が勝手に個人の携帯を使用していたことを立証しなければいけませんが、これも容易ではないでしょう。 個人情報保護法上の責任については23条の安全管理義務が問題となりますが、まず従業員個人は、そもそも個人情報取扱事業者に該当しませんから、責任を負うことはありません。会社の責任が発生するかについては、会社が従業員に対して携帯電話の取扱についての適切な教育、監督を行っていたかがポイントです。たとえば教育としては、携帯電話の紛失に対する注意喚起をしたり、メモリの内容が不要になった際にはすぐに消去するよう指導したりしていることが必要です。また監督としては、従業員による携帯電話の取扱状況を定期的にヒアリングしたり、規則に違反した従業員を発見したときに、その改善を実際に命令したりしていることが必要です。会社としてこれらの安全管理義務を尽くしているにもかかわらず漏洩したという場合には、安全管理義務違反を問われることはありま せん。これらの内容は、携帯電話が会社の所有物であるか、私物であるかは関係がありません。なお私物の携帯電話の使用が禁止されていて、かかる規則が周知徹底されているにもかかわらず、従業員がこれに違反して使用・漏洩したという場合には、安全管理義務違反を問われることはないでしょう。 もちろん従業員が訓戒・減俸など会社の内規上の処分を受けるかどうかは個人への法的な責任の発生の有無とは別問題ですので、別途労働法を鑑みた判断が必要です。 個人データの漏えい等が生じた場合は、26条に基づく委員会報告・本人通知の要否も確認します。私物利用を規則で禁止していたという一事だけで会社の責任が自動的に否定されるものではなく、実際の教育・監督・安全管理と事故の経緯を検討します。端末の認証、暗号化、遠隔消去等も情報の性質に応じた対策になります。