個人情報Q&A ⁽⁸¹⁾

セキュリティに関する認定制度としてＩＳＭＳとプライバシーマークが存在していると聞きました。どちらを取得するのがお勧めですか。 ＩＳＭＳとプライバシーマークは共に情報の保護を目的とする制度という意味では共通する部分があります。しかしＩＳＭＳは企業内部に存在している営業上の情報一般を保護するための経営システムを構築することを目的としているのに対し、プライバシーマークは企業が取得した個人情報の安全を目的としています。このようにこの２つの制度は目的自体が異なりますから、一概にどちらの制度がいいと決めることはできません。もっとも現状においては、個人情報保護法への対応が急務であることと、認定取得の為のノウハウが蓄積されてきていることから、初めての認定取得であればプライバシーマークをお勧めしたいと思います。そのあと営業上必要であればＩＳＭＳにステップアップするという形であれば、導入もスムーズでしょう。なお出鼻をくじくようですが、いずれの制度も導入後の維持の負担が大きいですから、本当にマークが必要なのかもよく検討しておくべきです。 現在、プライバシーマークはJIS Q 15001:2023を踏まえた構築・運用指針、ISMSはISO/IEC 27001:2022及び対応JIS等に基づく制度です。ISMSは営業秘密に限らず個人情報を含む情報の機密性・完全性・可用性を扱います。どちらも法令遵守を自動的に保証するものではなく、プライバシーマークからISMSへ進むことが制度上必須の順序でもありません。本稿の推奨は、個人情報保護を中心に体制を整える場合の実務的な選択肢として参考にしてください。

個人情報保護法上、個人情報取扱事業者に該当すると様々な義務が課せられると聞いています。これは全部守らないといけないのですか。 義務の種類によって若干の違いはありますが、個人情報保護法上の各規定は、単なる努力義務ではなく、法的義務として定められています。そのため法律上の義務はきちんと遵守する必要があります。違反が問題になると原則として個人情報保護委員会からの勧告・命令が発令されることがあり、これに違反すると罰則の対象にもなります。また今は社会が敏感ですからコンプライアンス違反によるレピュテーションダウンが一番のダメージでしょう。 ただし、例えばデータ内容の正確性・最新性の確保や不要時の消去（22条）、苦情処理体制の整備（40条）は努力義務として規定されています。各条文の「しなければならない」と「努めなければならない」を区別します。また、一定の不正なデータベース提供等は、命令違反を待たず直接罰則の対象となります。

私は派遣労働者として就業していますが、派遣登録先が私の個人情報を漏洩してしまいました。派遣先は小さい会社で、個人情報保護法が適用されないようです。私の個人情報は保護されないのでしょうか。 現在は小規模という理由だけで個人情報保護法の適用対象外にはなりません。個人情報データベース等を事業に用いれば原則として同法の対象です。それに加えて、労働者派遣法に個人情報の保護規定がおかれていますので、一定の保護の対象となります。また漏洩事故が起こった場合には、個人情報保護法ではなく民法の不法行為に基づく損害賠償請求が可能です。 5,000人以下の取扱事業者を除外する旧制度は2017年５月30日に撤廃されています。派遣元と派遣先のいずれがどの情報を管理し漏えいさせたかを確認し、損害賠償と漏えい報告・本人通知の要否を分けて検討します。

ある国立の病院で受診していますが自分の個人情報がどのように記載されているのかが不安です。今話題になっている個人情報保護法を利用して開示の請求を行ったりすることはできるでしょうか 。 現在は国の行政機関や独立行政法人等の個人情報保護の規律も、個人情報保護法に統合されています。そのため「国立病院だから個人情報保護法では請求できない」という説明は現在の制度には当てはまりません。 運営主体が行政機関・独立行政法人等のどれに当たるか、病院等に関する適用の特例があるかによって、請求先と手続を確認します。行政機関等の保有個人情報の開示請求は76条以下が根拠です。特定の独立行政法人等や公立病院等には58条・125条等の特例があり、個人情報の取扱いと本人開示の適用関係を分けて確認します。病院の個人情報窓口へ、診療記録等の開示方法・本人確認書類を問い合わせることが実務的です。 医療情報でも原則として開示請求の対象となりますが、本人の生命・健康等を害するおそれがある情報など、法定の不開示事由に該当する部分は不開示となる場合があります。

当方は通信販売を行っている会社です。あるお客様より「もう通信販売を利用しないので自分の個人情報を削除して欲しい」との要求を受けました。このお客様に対しては今後ＤＭ送付などの営業活動は行わない予定にしておりますが、営業データを分析したり、あとあとトラブルになったときのために、個人情報は保管しておきたいと考えています。当社において削除する義務はあるのでしょうか。 適法に取得した情報でも、本人からの削除・利用停止の請求に一切応じなくてよいわけではありません。現行の個人情報保護法35条は、目的外利用、不適正利用、不正取得等の場合に加えて、利用の必要がなくなった場合、一定の漏えい等が生じた場合、本人の権利又は正当な利益が害されるおそれがある場合にも、保有個人データの利用停止・消去等を求める制度を設けています。 したがって、まず当該情報が保有個人データか、どの請求理由に該当するか、請求に理由があるかを確認します。多額の費用を要する等で利用停止等が困難な場合の代替措置など、条文上の例外もあります。請求について行った措置、又は措置を行わない旨は、遅滞なく本人に通知します。 営業分析や紛争対応の必要性が具体的に残る情報と、既に利用の必要がなくなった情報を分け、法令上の保存義務や保存期間も確認します。データを利用する必要がなくなったときは遅滞なく消去するよう努める義務もあります（22条）。DM送付を止めることと、全ての取引記録を削除することは同じではありません。