個人情報Q&A ⁽⁸¹⁾

当社は懸賞による賞品のＰＲを受託している企業です。依頼企業に代わって懸賞の受付を行います。この業務によって取得する個人情報はデータベース化されますが、６ヶ月以内には削除されます。この場合、保有個人データに関する事項の公表や、開示等の求めへの対応など、個人情報保護法の２４条以下の規定は適用されますか。また６ヶ月以内に終了する懸賞が複数回行われ、期間が重複することにより、同一の依頼企業の懸賞を６ヶ月以上にわたって受託することがあります。この場合は保有個人データに該当しますか。 現在は、６か月以内に消去する予定であるという理由だけで保有個人データから除外されません。短期保存データの除外は2022年４月１日に廃止されました。保有個人データかどうかは、開示・訂正・利用停止・消去等を行う権限の有無等により判断します（16条４項）。 ご質問の受託業務では、委託元だけがその権限を持つ場合、受託者にとっては保有個人データに該当しないことがあります。この点は保存期間とは別です。保有個人データに該当すれば、公表等（32条）、開示（33条）、訂正等（34条）、利用停止等（35条）への対応が必要です。 同じ依頼企業の懸賞を何回受託したか、業務期間が重なったかではなく、個々のデータに関する権限と取扱いを確認します。保有個人データでなくても、個人データとして安全管理等の義務がなくなるわけではありません。

当社ではお客様の個人情報をデータベース化し、サーバーに格納しています。従業員にデータベースの使用方法を教育する際、実運用されているサーバーとは別のサーバーを用意し、データベースのコピーを作成して、これを利用したいと考えています。このような方法は個人情報保護法などに抵触しますか？ 個人情報を従業員の教育目的に利用していることになりますが、まずこの利用目的を公表する義務があるか否かが問題となります。この点、利用している個人情報や実施する業務の特性上、お客様の実際のデータベースを利用することが実務上必須不可欠である場合には、「利用目的が明らかな場合」に含めて解釈し、利用目的の公表が不要と解釈する余地があります。一方、単にサンプルデータの作成の手間を省くためだけであれば、「従業員の教育のため」を利用目的として公表する必要があるでしょう。 次にデータベースのコピーを作成する点については、教育の実施上、かかるコピーに合理性があるか否かによります。安全管理を考える上においては、原則としては、必要がない限りは個人情報データベースの複製を作成しない方が望ましいです。しかし例えばデータベースの操作に習熟していない従業員が操作を誤り、個人情報を消去してしまう可能性があるような場合には、逆に個人情報の安全性を損ねてしまうこととなりますので、複製を利用した方が望ましいでしょう。 ただし、当初の利用目的を超える教育利用であれば、後から公表するだけでは足りず、原則として本人同意等の根拠を確認します（18条）。まずはダミーデータや識別できないよう処理したデータで目的を達せないかを検討し、実データが必要な場合は必要最小限の項目・件数に限定し、教育用環境のアクセス管理と終了後の消去を行います。

当社は不動産関連企業で、プライバシーマークの取得を検討しています。今回、ホームページ上で、通販やメールニュースの申込を受け付けることとしています。申し込まれる方に対し、当社における個人情報の利用目的がわかる形にしておく必要があると考えていますが、送信ボタンに「同意する」などと表示させた方が良いでしょうか？それともホームページ経由での個人情報の送信はそもそも行わない方が良いのでしょうか。 個人情報保護法21条２項では、個人情報を書面等で取得する場合には、利用目的を事前に明示する必要があるとされており、個人情報保護委員会の通則編ガイドラインではホームページも同様とされています。一方、プライバシーマーク制度では、個人情報の利用目的については、原則として、本人の同意を得ることが必要とされています。今後御社がプライバシーマークの取得を目指しているのであれば、個人情報保護法上で要求される単なる明示ではなく、利用目的についての同意を得るようにしたほうが望ましいでしょう。 もっともプライバシーマークにおける考え方でも、「同意」に署名捺印が必要だとは考えられていません。ホームページ上で、個人情報の主体たる本人に、個人情報の利用目的が具体的に記載され、且つ、ボタンを押す際に、ボタンを押すと個人情報の利用目的に同意したことになる旨がわかりやすく示されていれば、「利用目的について同意を得た」と考えて問題ないでしょう。 プライバシーマークを取得する場合は、JIS Q 15001:2023に対応する現行の構築・運用指針も確認します。送信直前に、利用目的や必要な通知事項へ容易にアクセスできるようにし、同意の対象を具体的に示します。ウェブからの取得自体が禁止されているわけではなく、通信の暗号化やアクセス管理等の安全な仕組みを整えることが必要です。

当社ではホームページ上にメール送信のためのＣＧＩを設置し、お客様から当社にご連絡していただく際にご利用いただいています。ホームページの開設にはレンタルサーバーを利用しており、サーバーから当社にメールが到達するまでの間に通信が傍受されてしまうと、情報が漏洩する可能性が存在しています。このようなシステムで情報が漏洩した場合に当社は法的な責任を負いますか？ 情報がネットワークスニッフィング（通信傍受）で漏洩したという事例はあまり見かけませんが、万が一の場合の法律問題を検討する際には、個人情報保護法上の問題と民法上の問題を検討する必要があります。 個人情報保護法上、個人情報の安全管理義務が発生する対象は「個人データ」、すなわちデータベース化された個人情報のみです。CGIがログを残さないという一事だけで安全管理義務がないとはいえません。既に個人情報データベース等を構成する情報の送信や、そのデータベースに入力するため取得する個人情報等を含め、取扱いの実態に応じて対象を判断します。一方、サーバー内にログを残すシステムになっている場合で、システム上ログ内の情報が検索可能になっている場合には、「個人データ」に該当し、安全管理義務を負うことになります。 もっとも現在のところ、「メールで個人情報を送信すること」は、あまり望ましくないとは言われるものの、それが直ちに安全管理義務に反するものとは解されていません。メールＣＧＩの場合には、送信先のアドレスを間違えたり、サーバーに侵入されて、ログを取得されたり、送信先アドレスを書き換えられたり、自社内で傍受されたりすると安全管理義務違反があったとなる可能性が高いでしょう。 民法上は、メールの内容が漏洩することにより、個人のプライバシーが侵害される結果となった場合に、損害を賠償する義務が発生することとなります（民法７０９条）。これは単に個人情報が漏洩しただけではなく、漏洩した内容が、個人にとって秘匿を欲する内容であって、未だ公となっていない情報であることが必要です。さらに民法７０９条は過失責任規定ですので、過失無くして漏洩した場合には、賠償義務を負いません。過失とは「義務違反」をいうのですが、ネットワーク回線の傍受による漏洩の場合に過失が認定されるかについては、現在のところ先立つ裁判例が無く、未だ結論は出ていません。もっとも当職の私見としては、①送信されることとなる情報がプライバシー情報、決済情報、信用情報、センシティブ情報、企業秘密等高度に秘匿性が高い情報であって、②同種の情報についてはTLS等による適切な暗号化措置を執って送信するのが一般的である場合や、漏洩した経路が自社の構内でワイヤ・タッピングされるなど、自らの管理範囲下で行われた場合には過失が認定される可能性が高いでしょう。一方、①想定される情報が単なる問い合わせ情報等類型的に秘匿性が低いもので、②システムが単なる「メール送信システム」であることが明示されている場合には、過失が認定される可能性は低いでしょう。なお現在のインターネット関連システムの通常の技術水準からすると、後者の場合に、メール送信ＣＧＩを使用すること自体に過失であると認定される可能性は低いと思われます。 現在の対策では、問い合わせ画面をHTTPSで提供するだけでなく、サーバーから社内までのメール経路、管理画面の認証、ログと保存データのアクセス制御も確認します。漏えい等が生じたときは、個人情報保護法26条による委員会報告・本人通知の要否も検討します。

当社は人材派遣業務を行っています。銀行が合併するのに伴い、いくつかの支店で店番が変わります。派遣社員の給与振込先についても変更が必要となってくるのですが、これは当社の側で行ってもよいのでしょうか。それとも本人から申告させるべきなのでしょうか。 法律及び規格（ＪＩＳ Ｑ １５００１）上、本人の個人情報の中身そのものに関する規制は、正確性を保つということと、訂正削除に応じることのみです。本人に関する情報を管理する際、これらの規制を遵守している限りは、情報の追加、変更、修正にあたって本人の同意が必要になるということはありません。また正確性を保つという意味であれば、変更した方が望ましいという考え方もできるでしょう。もっとも個人情報保護の問題からは離れますが、本人に安心してもらうためにも、会社側で店番号を変更したということは、通知してあげた方が良いでしょう。 ただし、利用目的を超える利用や要配慮個人情報の新たな取得まで、正確性の確保という理由で自由にできるわけではありません。ご質問の銀行の合併に伴う店番の訂正では、銀行の正式な案内等で変更内容を確認し、本人に確認又は通知して誤振込を防ぐことが実務上大切です。