個人情報Q&A ⁽⁸¹⁾

当社は収益物件（主に賃貸マンション・テナントビル）を取り扱う不動産業者です。収益物件を売買する際には、収益力の吟味のため、顧客より入居者の情報（勤務先・支払賃料・支払履歴までも）の提供を求められることがあります。開示するためにはどのような対策を取っておくことが必要でしょうか。宅建業法の守秘義務に反しないかも心配です。 個人情報データベースを構成する個人情報を第三者に提供するときには、本人の同意が必要です。単に利用目的を明示しておくだけでは足りません。収益物件にかかわる個人情報であっても、特に例外には該当せず、第三者提供するのであればやはり同意が必要となります。また顧客に見せるだけで記録させなかった場合でも、やはり第三者提供となりますので、同意が必要です。なお本人の同意を得て公開するのであれば、宅建業法上の守秘義務に反することはありません。なおデータベース化されていない個人情報については第三者提供の規制の対象外ですので、同意の取得は不要です。もっとも勤務先や賃料、支払い履歴はセンシティブな情報ですので、仮に個人情報保護法に違反しないとしても、賃借人のプライバシーを侵害してしまうおそれがありますので、やはり同意を取得しておくに越したことはないでしょう。 収益物件が売買された際には、法律上賃貸人たる地位が当然に移転します。その際、契約書や、賃料・保証金の残高情報を引き継ぐことになりますが、これは形式的に見れば個人情報の第三者提供です。もっとも個人情報保護法27条５項２号では事業の承継に伴って個人データが提供される場合には、第三者提供とならない旨規定しています。収益物件の所有権がこのような「事業の承継」と言えるか否かについては、法律やガイドラインでは明確な記載がありません。しかし、賃貸人たる地位が当然に移転する以上は、やはり事業の包括承継に準じるものといえます。また賃借人が同意を拒否することが可能であるとすれば、事実上は賃借人が収益物件の売買の拒否権を有することとなってしまい不当です。そのため収益物件の売買の際は、この規定の適用対象となるというべきでしょう。そのため御質問の件では、賃借人の個別の同意は不要と思われます。 売買前の候補者への閲覧と、成立した売買に伴う賃貸事業の承継に必要な引継ぎは区別します。承継の交渉段階で個人データを提供する場合にも、利用目的や安全管理、交渉不成立時の返却・消去等を定め、交渉に必要な範囲を超えて利用させない取扱いが必要です。賃貸人の地位移転は賃借権の対抗要件等によるため、一律に全ての売買で当然移転するわけではありません（民法605条の２）。

当方レストランを営業しています。空席待ちをしていただくお客様の順番を管理するために、レジ前の待合いスペースに名前を書ける台帳（ウェイティングリスト）を置いて、お越しいただいたお客様に、お名前、人数を御記載いただいています。お越しいただいた方であれば、誰でもその台帳を見ることができてしまうのですが、個人情報保護法上問題は無いでしょうか。 個人情報保護法における利用目的の通知、第三者提供及び安全管理措置が問題になります。 なお名字のみを記載する場合には、そもそも個人情報に該当するかどうかも微妙なのですが、名前まで記入する方がいないとは限りませんので、個人情報に該当することを前提として検討するべきでしょう。 まず利用目的の通知ですが、常識的に判断して、その台帳がウェイティングリストとして使用されることが誰にでもわかる形で設置してあるのであれば、「利用目的が明らかな場合」として、特に別途の告知は不要でしょう。一方、この台帳をその他の目的に使用する場合には、かかる目的を、台帳やその他来店客の目に付きやすいところに掲示しておく必要があります。 この台帳が誰でも見ることができるという点については、第三者提供が問題となります。この第三者提供の規制は、「個人情報データベース等を構成する個人情報」のみが適用対象です。 こういった台帳形式のウェイティングリストについては、通常は来店したお客様に、上から順に名前を御記載いただく形となっているのではないかと思います。するとその台帳自体には、特定の個人を検索するための仕組みが備わっていない事になります。この場合、個人情報保護法にいう個人情報データベース等に該当しないこととなりますので、第三者提供の規制はそもそも適用されないことになります。 そして安全管理措置についても、やはり個人情報データベース等に該当しない場合には適用がありません。 以上の通り、通常は、一般的な台帳形式のウェイティングリストが個人情報保護法に抵触してしまうということはありません。 もっとも個人情報保護を重視するのであれば、台帳に記載する情報を必要最小限、例えば名字のみにして、住所はもちろんのこと、その他名や電話番号は記載しないように告知した方が良いでしょう。また容易に持ち出されたりしないような工夫も必要かと思われます。 氏名だけでも特定の個人を識別できれば個人情報です。以上は、検索の仕組みがない単純な順番待ち用の紙の台帳という前提での説明です。電子的な検索機能や氏名別の索引を備える場合には個人情報データベース等に該当し、第三者提供（27条）や安全管理（23条）の規定を検討する必要があります。番号・呼出し名を用い、用済みの記録を他の客から見えないようにする方法も考えられます。

当社は建設業を営んでおり、事業の遂行に際しては多くの下請業者を使用しています。労災保険の加入にあたり、請負事業ですので、下請労働者も含めて労災に加入しています。保険料の算定のため、下請業者には各労働者の賃金の内容を教えてもらっているのですが、個人情報保護法上問題は発生しますか？ 賃金の情報がそれが氏名を伴っている場合には当然に個人情報に該当します。多くの場合賃金情報はデータベース化されているでしょうから、これを他の事業者に提供する場合には、法律上の原則からすると本人の同意が必要となりそうです（個人情報保護法27条）。 もっとも請負事業を一括して取り扱わなければいけないのは、労働保険の保険料の徴収等に関する法律第８条の規定が存在しているからです。個人情報保護法27条１項１号では「法令に基づく場合」にもとづく第三者提供については本人の同意は不要とされています。提供が法的な義務と明記されているわけではない場合にこの条項が適用できるかどうかについて定まった解釈は無いようですが、当職の私見としては適用可能と考えています。そのため労災保険適用のための提供であれば、下請労働者の個別の同意が無くても、提供・受領可能でしょう。 もっとも賃金総額による概算方式も制定されていることを考え合わせると、下請事業者が労働者の情報を提供する義務まではないでしょうから、無理矢理提出を請求することはできないでしょうし、個人情報保護に関する契約や覚書の締結を交換条件として要求される場合もあり得るのではないかと思われます。 この回答は労災保険料算定という目的のために必要な範囲の提供を前提とする著者の見解です。算定に必要な情報を超えて各人の給与明細等を広く集めてよいという意味ではありません。個人を特定しない集計で目的を達せられるかも検討します。

当社は写真をテーマにした雑誌を発行している会社で、毎年フォトコンテストを開催しています。当選した応募者の氏名を雑誌に掲載したり、ポスターに掲示したりするのですが、個人情報保護法上問題が生じるのでしょうか。 応募時に、入賞者の氏名を雑誌・ポスターで公表することを示し、その公表について本人の同意を得ておくことが適切です。氏名は個人情報に該当し、応募者名簿等を構成する個人データを掲載する場合には、原則として第三者提供の同意が必要です（27条）。 報道機関には雑誌社が該当する場合もありますが、57条の適用除外は報道目的等の取扱いについてのものです。雑誌社であることだけで、コンテスト運営の全てが適用除外になるわけではありません。 同意は必ずしも押印した書面に限られませんが、単にコンテストだから発表されて当然というだけでは、氏名公表への同意を当然に認めることはできません。応募規約に、公表する項目と媒体を具体的に記載し、応募者が認識して同意する手続を設けておくという勧めは、現在も有用です。写真や受賞作品も公表する場合には、その範囲と著作権の利用条件も定めます。 旧5,000人以下の適用除外は2017年５月30日に撤廃されています。参加人数が少ないことだけで事業者の義務がなくなるわけではありません。

経産省ガイドラインに、第三者提供とならない事例として、「同一事業者内で他部門へ個人データを提供すること」が挙げられています。例えば、私が名刺を元に作成したエクセルの個人情報データベースに登録されているお客さんの氏名・メールアドレスを同僚に渡しても良いのでしょうか。 第三者提供とは、個人情報を、個人法人を問わず、ある法的な主体から別の法的主体に移動させることです。そのため一つの法的主体の中で移動する分には第三者提供になりません。あなた個人が個人情報取扱事業者に該当していないことを前提とすれば、同僚に個人情報を渡すことが第三者提供となることはありません。もちろんかかる情報の提供が個人情報の利用目的に合致しているかという点と、プライバシーポリシーや各種の機密保持契約の条項に違反していないかは別途検討が必要です。 現在の一般的な参照先は個人情報保護委員会の通則編です。同じ会社の他部門への共有でも、利用目的の範囲内に限定し、アクセス権限を必要な者に絞る必要があります。別法人である親会社・子会社への提供は、同じ企業グループというだけでは社内共有と同じ扱いになりません。