個人情報Q&A ⁽⁸¹⁾

パソコン（ＰＣ）の中に友人の個人情報を残したまま中古業者に売却してしまいました。もし個人情報が漏洩したときに、私は責任を負いますか？それとも中古業者が責任を負いますか？ 民法上、過失によって第三者に損害を発生させたときにはこれを賠償する責任が発生します。過失とは、平たく言えば、「やるべきことをやらないこと」です。近時個人情報保護への意識が高まっており、また、廃棄パソコンからの情報漏洩事件が多発しています。このような社会状況を前提とすると、廃棄するパソコンの中の個人情報は、これを消去すべき義務があると判断される可能性は高いでしょう。そして一次的に廃棄する義務を負うのは、パソコンの中に当初自ら個人情報を保存した者です。そのため、中古業者が重ねて責任を負う可能性がないわけではありませんが、まずはあなたが賠償の責任者となるでしょう。 通常のファイル削除や初期化だけでは、復元される可能性が残ります。売却前に保存媒体に応じた確実な消去を行い、消去の委託をするなら作業範囲と完了を確認します。個人が私生活上扱う情報であっても民法上の責任は別に問題となり、事業で扱う個人データであれば個人情報保護法上の安全管理・委託先監督も確認します。

当社は卸売業者ですが、納入先より個人情報漏洩についての損害賠償条項が記載された覚書と誓約書の提出を要求されています。当社は取引上弱い立場にあるのですが、この要求には従わなければならないのでしょうか？ 近時、個人情報漏洩事件の多発を受けて、個人情報保護に関する覚書の締結や誓約書の徴集が盛んに行われています。そして多くには、機密保持条項や損害賠償条項が記載されています。もっとも、誤解が多いのですが、実は、個人情報を預かっていれば、これらの書面を締結していなくても、法律及び先例上、機密保持義務や損害賠償義務を当然に負っています。当たり前といえば当たり前なのですが、人の秘密を勝手に漏洩してはいけませんし、漏洩によって相手に損害を与えればこれを賠償しなければなりません。そのため、機密保持条項や損害賠償条項しか記載されていない書面であれば、もともと法律上負担している義務を紙に書いただけですので、通常の法的義務を確認しただけなら新たな負担は限定的ですが、無過失責任、間接損害、賠償上限の撤廃等を含むかは条項ごとに確認する必要があります。 一方、監査の受け入れや報告義務など、実質的な負担が重くなる条項については、よく検討して締結すべきです。違約金条項などが入っていると、思ってもみなかった賠償責任が発生してしまうことがあります。なお、機密保持の覚書や誓約書を相手方に提出するという義務は、法律上は特に存在していません。しかし今般、個人情報保護法が制定され、業務委託先の管理責任が明定されました。そしてこれをうけて個人情報保護委員会の通則編ガイドラインも委託先に対し一定の監督を行うように要求しています。そのため委託元においてもこれらに対応せざるを得ない以上、委託先においても、覚書の締結などはある程度は受諾せざるを得ないでしょう。もっとも、「個人情報保護対策」という名の下に実質的に不利益な取引条件を押しつけるような行為は許されません。個人情報保護委員会の通則編ガイドラインにも同様の記載がなされています。あまりにも乱暴なやり方であれば、優越的地位の濫用であるとして、独占禁止法に基づき、公正取引委員会に申告すべきでしょう。 委託先監督の現行の根拠は個人情報保護法25条です。書面の名称だけで法令の確認にすぎないと決めず、既存契約との優先関係、監査・事故報告、再委託、返却・消去まで確認します。

銀行の窓口や病院の待合いで、顧客や患者の名前を読み上げて呼び出すことは個人情報の漏洩にあたりますか？ 氏名は個人情報保護法上の個人情報に該当します。しかし、通常の銀行窓口や病院の待合室で、順番を知らせるため氏名だけを必要な範囲で読み上げる場合には、ここで伝わる氏名はプライバシー情報とはならず、通常はプライバシー侵害には当たらないと考えます。個人情報であることと、私生活上の秘密として保護されるプライバシー情報であることは別の問題です。 個人情報保護法上も、名前を呼ぶことが一律に禁止されているわけではありません。呼出しという利用目的や本人の同意の範囲を踏まえて取り扱います。個人データの第三者提供についての現行の根拠条文は27条です。 ただし、氏名とともに病名、相談内容、取引・財産事情等が周囲へ伝わる場面は別です。病院では取り違え防止にも配慮しつつ、氏名での呼出しを望まないという本人の希望に対応することが必要です。番号で呼ぶ、音量や呼出し範囲を抑えるといった配慮も望ましいでしょう。

不動産の賃貸を事業として行っています。入居希望者から前の入居者がどんな人物だったかを聞かれることがあるのですが、答えてもいいのでしょうか。あと弁護士を名乗って入居者の情報を聞いてくる人がいるのですが、どう対応すべきでしょうか。 個人情報保護法上、「個人データ」については第三者への提供が規制されています（同法27条）。しかし「個人情報」ですらない情報は「個人データ」にもならないため規制がかかりません。 例えば妻帯者かどうかや子供の人数などの家族構成や職業、物件の使用状況等はそれだけでは個人を特定できない場合がありますが、特定の部屋の前入居者という情報や手元の契約情報等と容易に照合して個人を識別できるときは、個人情報に該当します。プライバシー保護の観点からもこれらの提供のみとするのが適当ですし、新しい入居者としても入居を判断するには十分なはずです。一方、氏名や電話番号、転居先の情報は個人の特定が可能ですので、原則としては提供できないと考えておいた方がいいでしょう。 弁護士からの要求の場合には、既知の弁護士からの問い合わせでない限りは、「弁護士法23条の２に基づく弁護士会照会」によることを要求すべきです。この場合は確かに弁護士からの請求であることを確認できますし、個人情報保護法27条１項１号の法令に基づく場合に該当しますので、個人情報保護法に違反したことにもなりません。 弁護士本人からの任意の問い合わせと、弁護士会が行う照会は区別します。弁護士会照会であっても、質問対象・必要性・守秘義務等を確認して回答範囲を検討します。単に弁護士を名乗ったことだけを理由に入居者情報を渡してはいけません。

営業社員が退職するに際しては、在職中に集めていた顧客の名刺は会社に渡してもらうべきなのでしょうか？ 営業社員が会社の営業のために客先を回るなどした際に集めた顧客の名刺については、その所有権は会社にあるものとされています。そのため退職する際に名刺を持って出るということは、窃盗や横領の問題となってしまいます。 また多くの場合、名刺に記載されている情報は、会社の方で何らかの形でデータベース化しているのではないかと思います。会社から離れた一個人に名刺を渡すということは、個人データを第三者提供しているということになり、原則として本人の同意が必要となります。各個人から同意を得るというのは事実上不可能でしょうから、データベース化されている部分がある場合には、これを除かない限りは、名刺を持ち出させるのは困難です。 そのため名刺については退職時はすべて原則回収するという取扱いを確立すべきでしょう。 第三者提供の現行の根拠は27条です。回収時には紙の名刺だけでなく、端末の連絡先、私用クラウド、画像・コピー等も会社の規程に沿って確認します。業務上取得した名刺と社員が私的な交際で取得した名刺は区別し、所有関係や持出しの許諾も踏まえます。