個人情報Q&A ⁽⁸¹⁾

当方幼稚園を経営しております。父母の方々にお見せするために、教室の状況をリアルタイムでストリーミング配信することを計画中です。個人情報保護法上問題が発生するでしょうか？ 個人情報保護委員会の通則編ガイドラインでは個人が特定できる映像情報も個人情報であるとされています。そして未成年者や幼児の情報であっても個人情報となりますので、教室の状況を撮影すれば、幼稚園は自らが主体となって園児の個人情報を収集していることになります。そしてこの情報をストリーミング配信すれば、本人（園児）以外の法的主体に個人情報が提供されることになりますので第三者提供となります。もっとも第三者提供規制が適用されるのは個人データのみです。通常個人を撮影した映像では特定の個人を検索することはできないでしょうから、個人データには該当しません。もっとも、保育の状況は本人のプライバシーを含んでいる可能性が高く、プライバシー情報を提供するためには、同意を得ることが必要となります。このとき園児本人には判断能力が無いため同意の取得は無意味です。そのため法定代理人から同意を取得する必要があります。この点ＪＩＳ Ｑ１５００１でも、子供の個人情報の利用については保護者から同意を得ることが要求されています。 なおどの園児も撮影される可能性があり、またどの園児の父兄もこれを閲覧する可能性がある以上、保護者からの同意の取得にあたっては、「自分の子供の映像が他の父兄も閲覧できる状態になる」ことを前提として、対象となっている教室の園児全員の父兄から同意を取得する必要があるでしょう。 なおこれはあくまでも提供・公開に対する同意の取得の問題ですので、利用目的の様に、単に通知するだけでは足りませんので注意が必要です。 個人データか否かは録画・検索機能や園児名簿等との対応付けを含む実態で判断し、ライブ配信という名称だけで一律に決まるものではありません。同意を得る場合は、他の保護者が閲覧できる範囲、録画・二次利用、保存期間を説明し、閲覧者の認証や公開範囲を設定します。保護者の同意があっても、配信先を限定する安全管理を省略できるわけではありません。

ある通信会社の商品の営業代行を行っています。顧客から回収した申込書を、別の商社を介して、通信会社に渡しています。このように情報をいったん商社に渡すことには問題がありますか？ 情報を第三者に提供する際に、宅配業者等、情報の中身に全くふれることのない第三者が介在しても、この第三者は、いわゆる使者であり、個人情報保護法上の第三者には該当しないでしょう。しかしご質問の商社はその情報について自己利用目的があるものと思われますので単なる使者と評価するのは困難でしょう。そのため顧客から個人情報を預かる際に第三者提供についての同意を得るか、オプトアウト手続きを利用する必要があります。 商社が委託された事務のためだけに扱うなら、27条５項１号の委託に当たるかを検討します。商社が情報を自社の営業に使う場合とは区別が必要です。オプトアウトによる第三者提供には、本人が停止を求められること等の通知・公表と委員会への届出等が必要で、要配慮個人情報や不正取得されたデータ等には使えません。

個人情報の第三者提供に関する同意を本人から取得する際には、承諾書にサインをしてもらう必要がありますか。それとも口頭でいいですか？ 法律上、第三者提供に関する同意については、書面で取得することが要求されているわけではありません。同意する旨を口頭で伝えられた場合でも、この法律上は有効な同意となります。ただし後々紛争となった場合に、口頭で伝えられただけでは、同意したことの証拠が残りませんので、不利な立場になるおそれがあります。そのため業務上可能であれば、書面で取得する方が望ましいでしょう。それが無理な場合でも「口頭で承諾をもらったことの記録」を付けておくべきです。 電子的なチェックや返信による同意も、その内容を本人が理解し、意思を示したと認められれば有効です。何に対する同意か、対象となる個人データ・提供先・目的等を本人が判断できる形で示し、記録を残します。金融分野等には同意の方法に関する分野別のガイドラインもあるため、一般則と区別して確認します。

電子メールは受取人が簡単に転送できますが、差出人の同意を得ないで転送すると、プライバシーを侵害したり、その他の規制（通信の秘密や個人情報保護法）に違反したりすることになるのでしょうか。 受け取った電子メールは、郵送による手紙とは異なり、受取人が簡単に転送できます。しかし、権利関係やその他の法律問題を分析するにあたっては、通常の手紙と同様の注意が必要です。 プライバシーについて まずプライバシーの問題については、当該電子メールの内容が、１ 私生活上の事柄又は私生活上の事柄らしく受け取られる事柄（私事性） ２一般人の感受性を基準として、他人に知られたくないと考えられる事柄（秘匿性） ３いまだ他人に知られていない事柄（非公知性） （「宴のあと」事件判例による要件） の条件を満たすのであれば、判例がいうところのプライバシー情報にあたります。 もっともメールを送信している時点でメールの内容を少なくとも受信者には公開していいと判断している訳ですから、秘匿性・非公知性が必ずしも高くなく、また、単にメールを転送したのみでは、メールの内容を世間に公表したわけではありませんので、たたちにプライバシー権侵害となることは少ないでしょう。メールに記載されている事項が、一般人の感受性を基準とすれば、転送を望まない事項であることが明らかな場合や、メールの発信者と受信者の人的関係や従前のやりとりから当該メールの内容を第三者に開示しないことが当事者間での前提・約束となっている場合や転送先がメーリングリストである場合に、プライバシーの侵害になると思われます。 たとえば病気やトラブルの相談を持ちかけられた内容は、通常は受信者以外の第三者に知られたくない内容であることが多いはずです。平たく言えば「普通は転送されたくないだろうな」と思うようなメールであれば転送しないということになるでしょう。 個人情報保護法についてメールに氏名・住所・所属やメールアドレスが記載されている場合、多くの場合は特定の個人を識別できます。そのため多くの場合はメール全体が個人情報となるでしょう。そしてこれを転送する場合には、同法２７条の第三者提供の規制に抵触しないかが問題となります。 もっとも同条の規制対象となるのは同法の規定する「個人データ」つまりデータベース化された個人情報のみです。メールボックス内のメールでも、氏名やメールアドレス等により特定の個人情報を検索できるよう体系的に構成されていれば、個人情報データベース等に該当し、その構成情報は個人データとなります。単にメールであるという理由で第三者提供規制の対象外とはいえません。 ただしメールをなんらかの形で検索を容易にするために体系化している場合、たとえば多数の顧客とのやりとりのメールを印刷し、顧客毎に時系列順にファイリングしている場合などは、個人データに該当してしまい、同条の適用を検討しなければいけません。 まず企業内の別の担当者に転送するような場合には、当初のメールがおよそ企業に向けられた個人情報の送信と考えられることが多いことから、このような転送はそもそも第三者に転送したことにはならない場合が多いでしょう。 一方、企業外の第三者に転送する場合には、多くの場合、この規定の形式的な要件には該当するでしょう。個人情報保護法はプライバシー権とは異なり、対象となっている情報が、私事性、秘匿性、非公知性を問いません。そのためとにかく個人情報が入っていれば、その内容を問わないためです。 結果、転送については同意が必要と言うことになります。もっとも同法の同意は書面によることは要求されていません。そのためおよそ企業間のメールのやりとりであれば、送信者が転送について黙示に同意していると認められる場合も多いでしょう。また業務の委託先への転送であれば、第三者提供の規制の例外となっており、同意の取得は不要です。通信の秘密について 電気通信事業法４条１項は、電気通信事業者の取扱中に係る通信の秘密を侵してはならないと定めており、侵害主体を国や電気通信事業者だけに限定していません。同条２項は事業従事者の守秘義務を別に定めています。また対象となる通信は電気通信役務の受け手である第三者間で行われている通信をいいます。そのため国や電気通信事業者であっても、自身の日常の事務のために職員・社員がやりとりしているメールについてはやはり対象となりません。 その他の法令 不正競争防止法では営業秘密の保護が規定されており、たとえば営業秘密が含まれるメールを転送すると、不正開示等として同法違反になる場合があります。営業秘密に当たるには秘密管理性・有用性・非公知性が必要で、さらに不正取得・不正開示等の各行為類型の要件を満たす必要があります。また公務員であれば、メールの転送により各法令・条例で規定されている公務員としての守秘義務を犯してしまうおそれがあり注意が必要です。 企業内転送でも当初の利用目的の範囲を守る必要があります。委託先への提供が第三者提供に当たらない場合も、委託先の必要かつ適切な監督は必要です（個人情報保護法25条、27条５項１号）。

自社の社員の氏名などの個人情報を保険会社に提供したり、保険代理店に社内で保険募集を行わせる場合には、社員の同意が必要ですか。 保険会社やその代理店は、事実上の便宜の見返りに、営業対象となる個人のリストを提供を求めてくることがよくあります。しかし保険会社やその代理店は、自社からみれば個人情報保護法27条の第三者に該当します。また同条の例外規定の適用も原則としてはありません。そのため情報の提供に際しては、社員個人からの同意が必要となります。オプトアウト規定や共同利用規定を利用することができれば同意が不要となりますが、提供先が個人情報を営業目的に利用するような場合には、これらの規定に依拠することはあまり望ましくないでしょう。 一方、会社が許諾するのであれば、代理店に会社内で営業を行わせることは可能です。社員が代理店に保険の申し込みをしたとしても、これはあくまでも社員から代理店や保険会社に直接個人情報が提供されたことになりますので、第三者提供における同意は必要ありません。しかし代理店の営業行為にあたって会社が社員の個人情報を提供する場合には、やはり個人情報を第三者提供していることになりますので、社員から同意を得ることが必要になります。 同じ企業グループの保険会社・代理店であっても別法人であれば、第三者性は変わりません。共同利用を用いる場合には、データ項目、利用者の範囲、利用目的、管理責任者の氏名・名称、住所、法人代表者等の必要事項を本人が知り得る状態に置くなど、27条５項３号の要件を満たす必要があります。